¿Cree haber encontrado una vulnerabilidad de seguridad en MBI Clone, en sus servidores o en este sitio? Le explicamos cómo comunicárnosla y qué hacemos después.
Cómo contactarnos
- Por correo electrónico:
Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo. , en francés o en inglés. - Por teléfono: +33 3 89 65 90 45 (03 89 65 90 45 desde Francia), en días laborables.
- El formulario de contacto sirve para un primer mensaje, sin detalles técnicos.
Todavía no tenemos una clave de cifrado pública. Si su notificación contiene un detalle sensible, indíquelo en su primer mensaje: acordaremos un medio de intercambio cifrado. No adjunte datos personales.
Qué abarca
- El software MBI Clone, su instalador y sus actualizaciones.
- Los servidores que necesita el software: activación y licencias, actualizaciones, paquetes de programas, lecturas compartidas, depósito de los informes de diagnóstico.
- El área de clientes, este sitio y su página de suscripción.
Las vulnerabilidades de los servicios de otras empresas que utilizamos (pago con Stancer, correo electrónico de Google, alojamiento en OVH, envío de correos electrónicos con Postmark), las del propio Windows y las de los programas instalados mediante WinGet se notifican a su editor.
Qué nos ayuda
La versión de MBI Clone (página «Acerca de») y la de Windows, lo que está afectado, los pasos para reproducirlo, lo que podría obtener un atacante y una prueba mínima, sin datos reales de un cliente. Indíquenos también cómo volver a contactarle y si desea que le demos las gracias públicamente.
Nuestros compromisos
- Un acuse de recibo en un plazo de 5 días laborables.
- Una primera evaluación en un plazo de 10 días laborables: vulnerabilidad confirmada o no, y su gravedad.
- Una corrección, a título indicativo, en un plazo de 30 días para una vulnerabilidad crítica o alta y de 90 días para una vulnerabilidad media, y con una próxima versión para una vulnerabilidad baja.
- Noticias en cada etapa, y al menos cada 30 días mientras la vulnerabilidad no esté corregida.
Una vulnerabilidad ya explotada tiene prioridad sobre todo lo demás. También la notificamos a las autoridades, como prevé el Reglamento europeo de ciberresiliencia.
Durante su investigación
Le pedimos que no acceda a los datos de otro cliente, que no los modifique ni los conserve, y que se detenga en cuanto aparezca un dato de un tercero; que no degrade el servicio (ninguna prueba de denegación de servicio, ningún envío masivo); que no recurra a la manipulación de personas ni a una intrusión física; y que no publique nada antes de la corrección, o antes de que transcurran 90 días desde su notificación si no hemos acordado otra fecha.
Publicación y agradecimientos
Cuando la corrección está disponible, publicamos un aviso de seguridad: versiones afectadas, versión corregida, gravedad y lo que debe hacer el usuario, sin ningún detalle que ayude a explotar la vulnerabilidad. La fecha se acuerda con usted; puede aplazarse el tiempo necesario para que los usuarios instalen la corrección. Con su consentimiento, le damos las gracias en ese aviso.
Una vulnerabilidad de un componente de otro editor integrado en el software, como el entorno .NET o las herramientas openSeaChest, también se comunica a su editor.
Para las herramientas automáticas
Esta información también se publica en el formato estándar security.txt, en la dirección mbiclone.com/.well-known/security.txt. Los datos de las notificaciones se tratan como indica la página Privacidad.