Veröffentlichung von Sicherheitslücken: Gemeinsam für die Sicherheit unserer Systeme
Das Cloudera Security Response Team ist für Kunden und die Community die zentrale Anlaufstelle, um Sicherheitslücken in Produkten von Cloudera zu melden und Informationen zu übermitteln. Das Team arbeitet intern mit den Engineering- und Support-Abteilungen von Cloudera sowie der externen Apache-Community zusammen, um Schwachstellen in allen Cloudera-Produkten zu identifizieren, zu beheben und zu kommunizieren.
So melden Sie Schwachstellen
Cloudera empfiehlt Kunden und der Community dringend, Sicherheitslücken unserem Security Response Team zu melden, bevor sie diese in einem öffentlichen Forum besprechen.
Wenn Sie aktuell kein Kunde von Cloudera sind, senden Sie bitte eine E-Mail an security@cloudera.com, um eine Schwachstelle zu melden.
- Wenn Sie Kunde von Cloudera sind, erstellen Sie bitte einen Support-Fall über das Support-Portal. Achten Sie darauf, die Details zu Ihrer verwendeten Softwareversion anzugeben und zur Hardware, auf der sie ausgeführt wird. Für alle Schwachstellen, die Sie auf www.cloudera.com oder verbundenen Websites finden, geben Sie bitte die vollständige URL der Website/-seite an, auf der die Schwachstelle reproduziert werden kann.
Bitte sehen Sie davon ab, uns über folgende Schwachstellen zu informieren:
Allgemeine Probleme mit geringem Schweregrad, die von automatisierten Scannern gemeldet werden
Fehlende Security-Header (z. B. HSTS, CSP, SPF, DMARC)
Fehlende Cookie-Flags
SSL-Probleme (schwache Verschlüsselungen/Schlüsselgrößen)
Seitenübergreifender Anfragebetrug (Cross-Site Request Forgery, CSRF) über nicht authentifizierte Formulare oder Formulare ohne Auswirkungen auf die Sicherheit
Clickjacking
Andere allgemeine Probleme mit geringem Schweregrad, die von automatisierten Scannern gemeldet werden
Durchsatzbegrenzung (es sei denn, es stellt ein erhebliches Risiko dar)
MITM-Angriffe oder Angriffe, die physischen Zugriff auf das Gerät eines Benutzers erfordern
Bereits bekannte gefährdete Bibliotheken ohne funktionierenden Machbarkeitsnachweis
Schwachstellen, die nur Benutzer von veralteten oder nicht gepatchten Browsern betreffen [Weniger als zwei stabile Versionen vor der zuletzt veröffentlichten stabilen Version]
Probleme mit der Offenlegung von Softwareversionen/bei der Identifizierung von Bannern
Verwenden Sie bitte den nachstehenden GPG-Schlüssel, um Ihre Meldung sicher an Cloudera zu übermitteln.
FINGERABDRUCK SCHLÜSSEL
BLOCK DES ÖFFENTLICHEN GPG-SCHLÜSSELS
Kopieren Sie den folgenden Schlüssel, und fügen Sie ihn ein:
Bug-Bounty-Richtlinie
Cloudera bietet derzeit kein Bug Bounty für Produkt- oder Website-Sicherheitslücken an.