Gelhaus Solutions
Erklärung zum CNA-Geltungsbereich
Der Geltungsbereich, wie er eingereicht wurde, was er für jedes Produkt abdeckt, und was beantragt, aber noch nicht gewährt ist. Der Meldeweg steht auf der Richtlinienseite.
Erklärung
Schwachstellen in Produkten und Diensten von Gelhaus Solutions, die nicht im Geltungsbereich einer anderen CNA liegen. Dazu gehören die GHub-Produktreihe und die unter der Organisation Gelhaus Solutions veröffentlichten Werkzeuge.
Für jedes Produkt erfasst der Geltungsbereich dessen Quell-Repositories, die daraus veröffentlichten oder verbreiteten Artefakte und die von Gelhaus Solutions betriebenen Produktivinstallationen, gleich ob der Quelltext zum Zeitpunkt der Meldung öffentlich ist.
Schwachstellen in Postiz liegen nicht in diesem Geltungsbereich. Postiz ist von einer eigenen CNA abgedeckt.
Das ist die Erklärung im Wortlaut. Alles Weitere unten ist dasselbe, ausführlicher gesagt; sollten die beiden je auseinandergehen, gilt die Erklärung oben.
Ein Produkt ist nicht nur sein Repository
Der Geltungsbereich wird je Produkt erklärt und erfasst das Ganze davon: das Quell-Repository, was daraus veröffentlicht oder verbreitet wird, und die von Gelhaus Solutions betriebene Installation. Ein Fund in einer gehosteten Instanz liegt zu denselben Bedingungen im Geltungsbereich wie einer im Code — für die betroffene Person gibt es da keinen Unterschied.
Nicht alle GHub-Repositories sind bereits öffentlich. Für den Geltungsbereich macht das keinen Unterschied. Eine Schwachstelle in einem Produkt ist die Schwachstelle dieses Produkts, gleich ob Sie beim Finden den Quelltext lesen konnten, und eine Meldung zu einer noch nicht veröffentlichten Komponente wird zu denselben Bedingungen behandelt wie jede andere. Die Repositories zu veröffentlichen wird dieser Seite nichts hinzufügen, und das ist der Punkt.
Wo ein Name mehr als eine auslieferbare Sache umfasst — eine App und einen Runner, eine Plattform und deren Instanz —, sagt der Eintrag in der Liste das, statt es der Vermutung zu überlassen.
Was nicht gelistet ist
Meldungen zu etwas, das nicht auf dieser Seite steht, werden trotzdem gelesen und bekommen trotzdem eine Antwort. Stellt sich heraus, dass es meins ist, wird es hier ergänzt und nach der Richtlinie behandelt. Gehört es jemand anderem, wird auf diese Stelle verwiesen.
Nichts wird zurückgewiesen, weil es nicht gelistet ist. Die Liste sagt, was bereits als erfasst bekannt ist; sie ist kein Filter auf das Postfach.
Im Geltungsbereich
11 products
5 of them have nothing released yet. They are listed because scope should exist before the first release rather than be added after it, and they are marked so nobody goes looking for something to test.
Beantragt, noch nicht wirksam
Vorgeschlagene Erweiterung Bei MITRE beantragt. Entscheidung steht aus.
Das liegt derzeit nicht im Geltungsbereich. It is a proposal, and it is deliberately not part of the statement above.
Schwachstellen in Projekten Dritter, die auf gadvisory.org aufgenommen wurden und deren Maintainer eine Kennung von Gelhaus Solutions anfragen, sofern das Projekt nicht im Geltungsbereich einer anderen CNA liegt und seine Maintainer die Zuweisung erbeten oder ihr zugestimmt haben.
Außerhalb des Geltungsbereichs
Listed rather than omitted, so the boundary against other CNAs and upstream projects can be checked rather than assumed.
Organisation
Eine davon melden
The channels, the response times and the safe harbour terms are on the policy page. This one only says what is covered.