产品漏洞报告政策

范围

本产品漏洞报告政策（“政策”）适用于影响 Wabtec 产品及其组件（包括相关软件、固件和 WABTEC 提供的产品相关数字服务）的潜在网络安全漏洞。

无论记者是否与Wabtec有商业关系，Wabtec都欢迎有关产品的报道。有关不再支持的产品的报告可以根据具体情况进行评估。接受或评估此类报告并不意味着 Wabtec 将在适用的支持期限之外为产品提供补丁、更新或其他补救措施。

本政策适用于产品网络安全漏洞。一般产品支持、没有网络安全影响的产品质量问题、保修索赔和其他非安全问题应提交给相应的 Wabtec 客户支持渠道。

本政策未授权对 Wabtec 客户或其他第三方拥有或运营的系统、网络、产品或环境进行测试。

诚信安全研究

Wabtec 支持真诚的安全研究，旨在识别并负责任地报告 Wabtec 产品中潜在的网络安全漏洞。

如果您根据本政策进行安全研究，本着诚意行事以避免损害 Wabtec、我们的客户和其他第三方，并及时向 Wabtec 报告已发现的漏洞，Wabtec 不会仅因为该研究而对您提起法律诉讼。

本承诺仅适用于 Wabtec 拥有放弃或控制的合法权力的索赔。未经客户或其他第三方许可，它不授权访问或测试客户或其他第三方拥有或运营的系统、产品、网络或环境，也不对独立第三方或政府或执法机构具有约束力。

您仍有责任遵守适用法律并获得系统、产品、网络或环境的所有者或运营商要求的任何授权。

如果您不确定特定研究是否符合本政策，请在继续之前联系 Wabtec PSIRT。

交战规则

为了促进负责任的研究并保护 Wabtec 客户、员工、运营部门和其他第三方，根据本政策参与的研究人员必须：

• 真诚地努力避免对Wabtec、我们的客户、其他第三方和公众造成伤害；
• 仅对您拥有或获得适当授权的产品、系统和环境进行测试；
• 避免测试第三方服务或基础架构，包括客户生产环境，除非您获得相应第三方的单独授权；
• 避免任何可能对铁路、运输、采矿、工业或其他运营环境的安全或可用性产生不利影响的活动；
• 避免干扰机车车辆、列车控制、信号、制动、通信或其他操作或安全相关功能；
• 避免拒绝服务、资源耗尽、破坏性或破坏性测试；
• 避免物理安全测试和社会工程，包括网络钓鱼；
• 避免引入恶意软件、勒索软件、持久性机制或其他恶意功能；
• 避免访问、修改、删除、下载或泄露数据，超出证明漏洞存在和潜在影响所需的最低限度；
• 停止测试，如果您获得的敏感数据、凭证、客户信息或功能的访问权限超出了证明漏洞所需的权限，请直接通知 Wabtec；
• 在发现漏洞后，避免横向移动或试图建立持续的访问权限；
• 避免将非公开的漏洞信息、客户信息或其他敏感信息上传到公共或第三方服务，因为这样做可能会导致未经授权的泄露；以及
• 如下所述，与 Wabtec 协调披露报告的漏洞，特别是，在 Wabtec 确认修复已发现的漏洞之前，不要公开披露已发现的漏洞。

涉及安全相关功能的研究只能在经过适当控制的非操作环境中进行，并且必须获得所有必要的授权。

通常超出范围

Wabtec 通常不会将有关安全最佳实践或配置问题的观察结果视为产品网络安全漏洞，但没有明显的网络安全影响。

示例可能包括：

• 未经证实的安全影响的信息版本泄露；
• 缺少或推荐的 HTTP 安全标头，但未经证实可利用性；
• 没有可信攻击路径或安全影响的理论漏洞；
• 完全依赖于过时或不支持的第三方浏览器、操作系统或平台的调查结果；
• 需要进行难以置信的用户交互而不会产生有意义的安全影响的问题；以及
• 其他不会造成实质性机密性、完整性、可用性、隐私、安全或操作风险的配置或安全强化建议。

此清单是说明性的，而不是详尽无遗的。如果报告者表现出有意义的网络安全、安全、隐私或运营影响，Wabtec 可以评估任何报告。

如果您不确定问题是否在范围内，我们鼓励您举报。

举报漏洞后会发生什么

Wabtec PSIRT 协调对报告的潜在产品网络安全漏洞的处理。该过程通常包括以下几个阶段。

1。收货和分类

Wabtec PSIRT 接收漏洞报告并对漏洞报告进行初步审查。

Wabtec PSIRT 随时接受报告，并将努力在两个工作日内确认收到漏洞报告。

表明存在迫在眉睫的安全风险、主动利用或对客户或运营产生重大影响的报告将优先进行快速评估。

2。技术评估

Wabtec 评估报告的潜在漏洞，并酌情与相关产品、工程、网络安全、安全、法律和其他团队合作，以：

• 验证并重现报告的问题；
• 确定受影响的产品和版本；
• 评估潜在的网络安全、安全、隐私和运营影响；
• 评估漏洞利用率和严重程度；以及
• 确定是否需要报告者提供其他信息。

在此过程中，Wabtec 可能会与记者联系以获取更多技术信息或澄清。

3.补救和缓解

对于经过验证的漏洞，Wabtec 将根据情况确定适当的补救措施或风险缓解措施。

根据漏洞和受影响产品的不同，这些措施可能包括软件或固件更新、配置更改、补偿控制、变通方法、客户指导或其他措施。

响应和补救时间表因各种因素而异，包括漏洞的严重性和复杂性、受影响的产品、安全注意事项、缓解措施的可用性、产品生命周期状态以及与客户、供应商、技术提供商、监管机构、CERT、CSIRT或其他受影响方进行协调的需求。

4。协调披露

Wabtec 旨在协调产品网络安全漏洞的披露，以帮助保护客户和其他受影响方。

在 Wabtec 调查问题并在适当情况下制定和协调补救或缓解措施的同时，我们要求记者对非公开漏洞信息保密。

Wabtec将寻求与记者真诚合作，酌情制定适当的披露时间表。披露时机可能会考虑以下因素：

• 漏洞严重性和可利用性；
• 正在进行或即将被剥削的证据；
• 潜在的安全或运营后果；
• 补救或缓解措施的可用性和验证；
• 受影响客户的部署注意事项；
• 与供应商和其他受影响方的协调；以及
• 适用的法律和监管要求

除非适用法律另有要求，否则研究人员不应在商定的协调披露日期之前公开披露漏洞的详细信息。

5。对记者的认可

在适当的情况下，经报告者同意，Wabtec 可以在已发布的安全公告或其他漏洞通信中确认举报者。记者还可以要求对自己的身份保密，或者不让他们得到公众的承认。

安全公告和客户通知

在适当的情况下，Wabtec 可能会发布安全公告或提供其他通知，以帮助受影响的客户了解和解决已确定的网络安全风险。

视情况而定，咨询或通知可能包括：

• 漏洞描述；
• 受影响的产品和版本；
• CVE 标识符和漏洞严重性信息（如果适用）；
• 潜在的网络安全、运营或安全影响；
• 已知的缓解因素或变通方法；以及
• 可用补丁、更新、配置更改或其他推荐操作。

通知的时间、形式和内容将取决于漏洞的情况，包括客户的安全和保障、漏洞利用风险、补救措施的可用性、受影响的产品和客户、与第三方的协调以及适用的法律和监管要求。

在适当的情况下，Wabtec 可以与相关的 CERT、CSIRT、其他政府机构、行业组织、供应商或其他受影响的利益相关者协调漏洞信息。

没有赏金或补偿

除非 Wabtec 另有书面明确同意，否则本政策不构成漏洞赏金计划，提交漏洞报告不构成获得补偿、补偿或其他付款的权利。

政策限制

参与本漏洞披露计划不授予 Wabtec 知识产权的任何权利或许可，除非是进行本政策允许的研究所必需的有限范围。

本政策中的任何内容均未授权违反适用法律或第三方权利的活动。

Wabtec 可能会不时更新本政策，以反映其产品、漏洞管理流程、适用要求或安全最佳实践的变化。

联系 Wabtec PSIRT

应向 Wabtec 产品安全事件响应小组报告潜在的产品网络安全漏洞：PSIRT [at] Wabtec [dot] com

有关敏感漏洞信息，请使用 Wabtec 的公共 PGP 密钥。