TuxCare 제품에 대한 법적 계약

취약점 보고 및 공개 정책

2026년 3월 1일부터 효력이 발생합니다.

TuxCare, Inc.는 CVE 프로그램(cve.org)에 등록된 공인 CVE 번호 부여 기관(CNA)입니다. 당사의 CNA 적용 범위는 TuxCare Endless Lifecycle Support(ELS) 및 TuxCare SecureChain for OSS를 포함하여 TuxCare, Inc.가 개발, 유지 관리 및 배포하는 제품의 취약점을 다룹니다.

TuxCare는 공인 취약점 관리 기관(CNA)으로서, 해당 범위에 속하는 취약점에 대해 직접 CVE ID를 할당하고 cve.org에 공식 CVE 레코드를 게시할 수 있습니다. 이 정책은 당사에 취약점을 보고하는 방법과 공개 절차에서 예상되는 내용을 설명합니다.

취약점을 신고하는 방법

취약점 보고서는 [email protected]으로 보내주십시오. 민감한 정보를 공개할 경우, 당사의 보안 PGP 키를 사용하여 메시지를 암호화해 주십시오.

다음 내용을 포함해 주십시오:

취약점 유형 (예: 원격 코드 실행, 권한 상승, SQL 인젝션, 정보 유출)
해당 제품, 서비스 또는 구성 요소 — 및 확인 가능한 경우 버전
단계별 재현 방법
증거 자료 (스크린샷, 로그, 개념 증명 코드)
잠재적 영향에 대한 귀하의 평가

공개 절차

TuxCare에 취약점을 신고하면 다음과 같은 절차가 진행됩니다:

1단계 — 확인

제보 접수 확인을 3영업일 이내에 보내드리겠습니다.

2단계 — 선별 및 CVE ID 할당

접수 확인 후 영업일 기준 5일 이내에 해당 문제가 당사의 CNA 범위 내 유효한 취약점인지 여부를 검토하겠습니다.

해당 취약점이 조사 범위에 포함된 것으로 확인될 경우, 당사는 분류 결정 후 24시간 이내에 CVE ID를 할당하고, 해당 CVE ID와 공개 예정 일정을 귀하에게 통지합니다. 또한 초기 심각도 평가(CVSS 점수)도 제공합니다.
해당 사안이 CNA의 업무 범위를 벗어날 경우, 중복 배정을 방지하기 위해 담당 CNA에게 안내해 드리거나 cveform.mitre.org로 연결해 드리겠습니다.
해당 보고서가 취약점으로 인정되지 않는 경우, 그 사유를 설명해 드리겠습니다.

3단계 — 개선 조치

저희는 문제 해결 방안을 마련하고 검증하기 위해 노력하고 있습니다. 표준 공개 유예 기간은 문제 분류가 확정된 날로부터 90일입니다. 문제 해결이 진행되는 동안 진행 상황을 지속적으로 알려드리겠습니다. 문제가 복잡하여 추가 시간이 필요한 경우, 즉시 알려드리고 합리적인 기간 연장을 요청드리겠습니다.

4단계 — 통합 공개

패치가 준비되고 테스트가 완료되면:

본 안내문의 예정된 게시 일정을 알려드립니다.
tuxcare.com/cve-tracker에서 보안 권고문을 게시합니다.
공지가 게시된 지 24시간 이내에 cve.org에 CVE 레코드를 게시합니다.
출판 금지 조치가 해제되면, 여러분은 자신의 연구 결과를 자유롭게 발표할 수 있습니다.

기자로서의 역할

정보 공개를 원활히 진행하기 위해서는 모두의 협력이 필요합니다. 다음 사항을 준수해 주시기 바랍니다:

TuxCare가 권고 사항을 공개하고 보도 금지 조치가 해제되었다고 통지할 때까지, 또는 최초 보고일로부터 90일이 경과할 때까지(둘 중 먼저 도래하는 시점까지) 공개를 보류해 주십시오.
독립적인 연구 결과를 발표할 계획이라면 시기를 조율해 주시기 바랍니다. 그래야 자문 보고서 발간 일정을 맞출 수 있습니다.
연구 과정에서 발생하는 영향을 최소화하십시오: 데이터를 훼손하지 말고, 취약점을 확인하는 데 필요한 범위를 넘어 생산 시스템을 중단시키지 말며, 다른 사용자의 데이터에 접근하지 마십시오.
취약점을 확인하는 목적으로만 익스플로잇을 사용하십시오. 다른 목적으로 접근 권한을 악용하지 마십시오.

당사가 패치를 공개하기 전에 귀하가 해당 내용을 공개할 경우, 당사는 사전 통지 없이 권고 사항 공개 일정을 앞당길 권리를 보유합니다.

본 정책에 따라 선의로 행동하는 연구자에 대해서는 법적 조치를 취하지 않을 것입니다.

감사의 말씀

TuxCare는 유료 버그 바운티 프로그램을 운영하지 않습니다. 귀하의 동의가 있을 경우, 해당 보안 권고문과 CVE 기록에 연구자의 공로를 명시하며, CVE 등록이 필요하지 않은 경우에도 당사 제품의 보안 향상을 위해 성의 있게 기여해 주신 분들께 감사를 표합니다.

해당 범위에 포함된 취약점

TuxCare의 CNA 범위 내 제품 (CVE ID가 직접 할당된 제품)

TuxCare는 다음 분야의 취약점에 대한 권위 있는 CNA입니다:

TuxCare Endless Lifecycle Support (ELS) — 지원되는 모든 운영 체제 및 프로그래밍 언어 버전
OSS용 TuxCare SecureChain

해당 제품에서 확인된 취약점에 대해 TuxCare는 분류 작업 후 24시간 이내에 CVE ID를 할당하며, 공개 권고문 발표 후 24시간 이내에 cve.org 에 CVE 기록을 게시합니다.

추가적으로 접수 가능한 상품 (CNA 적용 범위 외)

또한 TuxCare 라이브 패칭 소프트웨어(KernelCare)에 대한 취약점 보고도 접수하고 있습니다. 현재 라이브 패칭은 당사의 CNA(공인 취약점 관리 기관) 업무 범위에 포함되지 않으므로, 당사는 이러한 보고서에 대해 직접 CVE ID를 할당하지 않습니다. 다만 CVE ID 부여가 필요한 경우, 해당 CNA와 협의하여 진행하며 귀하께 그 경과를 알려드리겠습니다. 공개 절차 및 일정은 기존과 동일하게 적용됩니다.

범위 외 문제

다음과 같은 경우 일반적으로 유효한 취약점으로 인정되지 않습니다:

민감한 작업이 없는 페이지에서의 클릭재킹
인증되지 않은 엔드포인트에서의 CSRF
물리적 접근이나 네트워크 내 특권적 위치(MITM)가 필요하지만, 구체적인 영향이 확인되지 않은 공격
보안 헤더 누락 (작동하는 개념 증명 없음)
서비스 거부 공격
소프트웨어 버전 또는 구성 정보 공개
TuxCare 직원을 대상으로 한 사회공학 공격

TuxCare의 약속

헌신	연표
귀하의 보고서를 확인합니다	영업일 기준 3일 이내
CVE ID 할당 (해당되는 경우)	분류 결정 후 24시간 이내
CVE ID 및 심각도를 알려드립니다	CVE 할당 시와 동일한 알림
시정 조치 현황 제공	금수 조치 기간 내내
cve.org에 CVE 레코드를 게시합니다	공지 발표 후 24시간 이내에
자문 및 CVE 기록에 귀하의 공로를 명시합니다	허락해 주신다면