start portlet menu bar end portlet menu bar

Política de divulgación de vulnerabilidades de HCLSoftware

 

HCLSoftware reconoce la importancia de la comunidad de seguridad para la seguridad de nuestros productos y clientes. Agradecemos de antemano su contribución a nuestro programa de divulgación de vulnerabilidades.

El Equipo de Gestión de Vulnerabilidades de HCLSoftware gestiona la recepción, la investigación y la coordinación interna de la información sobre vulnerabilidades de seguridad relacionadas con las ofertas de HCLSoftware. Este equipo se coordinará con los equipos de productos y soluciones de HCL para investigar y, de ser necesario, identificar el plan de respuesta adecuado. Mantener la comunicación entre todas las partes involucradas, tanto internas como externas, es un componente clave de nuestro proceso de respuesta a vulnerabilidades.

HCL intentará responder a los nuevos informes dentro de 2 días hábiles.

Los clientes y otros usuarios autorizados de un producto o solución deben contactar con el Atención al Cliente de HCLSoftware para informar sobre cualquier problema detectado en las ofertas de HCL. Si el Equipo de Atención al Cliente de HCLSoftware determina que un problema reportado es una vulnerabilidad de seguridad, se pondrá en contacto con el Equipo de Gestión de Vulnerabilidades de HCLSoftware, según sea necesario.

 

This text is not displayed but is loaded on page.

Pautas

  • Para ser elegible para participar en este programa, no debe tener contrato para realizar pruebas de seguridad para HCL Corporation, una subsidiaria de HCL o un cliente de HCL dentro de los 6 meses anteriores a la presentación de un informe.
  • Reporte únicamente vulnerabilidades de productos de HCLSoftware que actualmente reciben soporte. Consulte la sección "En el ámbito" a continuación para ver la lista de productos. Este programa solo cubre la versión actual y las versiones anteriores de cualquiera de estos productos.
  • Para proteger a nuestros clientes, HCLSoftware no divulga ni confirma públicamente las vulnerabilidades de seguridad hasta que haya realizado un análisis del producto y publicado correcciones o mitigaciones. Al enviar un informe de vulnerabilidad a HCLSoftware, usted se compromete a no divulgar ni compartir la vulnerabilidad con terceros hasta que HCLSoftware confirme que la vulnerabilidad ha sido remediada o hasta que usted haya recibido autorización por escrito de HCLSoftware para publicar información sobre la vulnerabilidad.
  • HCLSoftware no participa en programas de premios de recompensas por errores en este momento.
  • Para que HCL evalúe su informe de vulnerabilidad, usted acepta proporcionar la siguiente información sobre su hallazgo: su dirección de correo electrónico (obligatoria) y detalles sobre el producto de software y su versión, una descripción del problema, la plataforma de hardware, los pasos para reproducirlo y su posible impacto. Consulte la sección "Informar sobre una vulnerabilidad de seguridad".
  • No incluya ninguna información que pueda identificar a un individuo (como nombre, información de contacto, dirección IP u otra información similar) en ningún archivo adjunto incluido en su informe de vulnerabilidad.

Vulnerabilidades fuera de alcance

Los siguientes trabajos no se aceptan como parte de este programa.

  • Clickjacking en páginas sin acciones de cambio de estado sensibles.
  • CSRF de inicio de sesión/cierre de sesión/desconexión no autenticado.
  • Ataques que requieren MITM o acceso físico al dispositivo de un usuario.
  • Bibliotecas vulnerables conocidas previamente sin una prueba de concepto funcional.
  • Inyección de valores separados por comas (CSV) sin demostrar una vulnerabilidad.
  • Mejores prácticas que no conducen a una vulnerabilidad procesable o que no tienen un CVE.
  • Cualquier actividad que pueda provocar la interrupción de nuestro servicio (DoS).
  • Problemas de suplantación de contenido e inyección de texto sin mostrar un vector de ataque/sin poder modificar HTML/CSS.
  • El software de HCL que ha llegado al final del soporte (EOS) no será aceptado y recibirá una respuesta "No aplicable".
  • Datos de dominio público accesibles para cualquier persona. Nota: Si encuentra una lista de directorios y explica cómo puede conducir a una vulnerabilidad maliciosa, la aceptaremos.

Aviso legal

Al enviar un informe de vulnerabilidad a HCL, usted acepta que HCL puede usar cualquier información proporcionada por usted en dicho informe para cualquier propósito comercial de HCL (incluidos, entre otros, la reproducción de la vulnerabilidad, la remediación de la vulnerabilidad y los propósitos generales de desarrollo), sin requerir su consentimiento ni pago.

Además, es importante que nos notifique si dicha información o propiedad intelectual asociada no es obra suya o está amparada por los derechos de propiedad intelectual de terceros. Si no nos notifica, significa que ha declarado que no hay derechos de propiedad intelectual de terceros involucrados.

¡Gracias por ayudarnos a mantener seguros a HCL y a nuestros clientes!

Todos los productos de HCLSoftware están dentro del alcance
de la Política de divulgación de vulnerabilidades.