Eine Schwachstelle melden

So melden Sie

security@zetaiti.com

Schreiben Sie an diese Adresse, auf Englisch oder Italienisch. Bitte veröffentlichen Sie keine Einzelheiten – in einem Issue, einem Forum, in sozialen Medien –, bevor wir mit Ihnen einen Termin für die Offenlegung vereinbart haben.

Was Sie angeben sollten

• das Produkt und seine Version und wo es läuft (Betriebssystem, Gerät, wie es installiert wurde);
• worin die Schwachstelle besteht und was ein Angreifer damit tun könnte;
• die Schritte, um sie nachzuvollziehen: ein Proof of Concept, Anfragen, Logs oder Screenshots;
• ob Sie wissen oder vermuten, dass sie bereits ausgenutzt wird oder anderen bekannt ist;
• wie Sie genannt werden möchten – oder dass Sie lieber nicht genannt werden;
• wie wir Sie erreichen.

Senden Sie nur, was nötig ist, um das Problem zu zeigen. Fügen Sie keine personenbezogenen Daten anderer und keine gültigen Zugangsdaten bei; hat Ihr Test Daten erreicht, die nicht Ihnen gehören, sagen Sie es uns, hören Sie dort auf und bewahren Sie sie nicht auf. Wenn Sie etwas Vertrauliches senden müssen, sagen Sie es in einer ersten Nachricht ohne Einzelheiten, und wir vereinbaren einen Weg.

Wie es weitergeht

• Eingangsbestätigung innerhalb von 2 Arbeitstagen: Ein Mensch bestätigt, dass Ihre Meldung angekommen ist.
• Erste Einschätzung innerhalb von 5 Arbeitstagen: ob wir das Problem nachvollziehen können, wie schwer wir es einschätzen und was wir als Nächstes tun.
• Wir halten Sie auf dem Laufenden, während wir an einer Behebung arbeiten, und sagen Ihnen, wann sie veröffentlicht ist.

Arbeitstage sind Montag bis Freitag, ausgenommen gesetzliche Feiertage in Italien.

Koordinierte Offenlegung

• Bitte halten Sie die Einzelheiten 90 Tage ab Ihrer Meldung vertraulich oder bis eine Behebung veröffentlicht ist, falls das früher geschieht. Mit der Behebung veröffentlichen wir einen Sicherheitshinweis, und Sie dürfen ebenfalls veröffentlichen.
• Braucht eine Behebung länger als 90 Tage, erklären wir Ihnen vor dem Termin den Grund und bitten um mehr Zeit; wir verschieben den Termin nicht, ohne es Ihnen zu sagen.
• Wird eine Schwachstelle aktiv ausgenutzt, können wir die Nutzer früher warnen, mit Hinweisen, wie sie sich schützen können.
• Ein Sicherheitshinweis nennt die betroffenen Versionen, die behobene Version, den Schweregrad und was Nutzer tun sollten, und nennt Sie, sofern Sie nichts anderes wünschen.

Was diese Richtlinie abdeckt

Unsere Produkte – Zetaiti Platform (der Hub) mit seinen Apps für Smartphone, Uhr und Desktop sowie Vademac – und unsere Websites zetaiti.com und protolab.tech.

Unterstützte Versionen

Sicherheitskorrekturen gibt es für die jeweils neueste Minor-Version jedes Produkts: die Versionslinie X.Y mit der höchsten Nummer und ihre Patch-Versionen X.Y.z. Ältere Minor-Versionen erhalten keine Korrekturen – aktualisieren Sie zuerst auf die neueste Version und sagen Sie uns, ob das Problem weiterhin besteht.

Nicht abgedeckt

• auf einem Zetaiti Platform-Hub oder in Vademac: was eine angemeldete Person im Rahmen der Rechte ihres Kontos oder ihrer Rolle tun kann. Ein Weg, mehr zu tun, als diese Rechte erlauben – auch über Text, den ein KI-Agent liest (Prompt Injection) –, ist dagegen abgedeckt;
• was ein KI-Modell von sich aus sagt oder entscheidet, es sei denn, es bringt unser Produkt dazu, über diese Rechte hinaus zu handeln;
• Produkte und Dienste anderer Unternehmen, die wir nutzen, verlinken oder anbinden (zum Beispiel GitHub, Cloudflare, Google, Microsoft, Modellanbieter): Bitte melden Sie es dort und sagen Sie uns, ob unser Produkt betroffen ist;
• eine Schwachstelle in einer Bibliothek Dritter ohne nachgewiesene Auswirkung auf unser Produkt (bitte bei deren Maintainern melden);
• Versionen, die keine Korrekturen mehr erhalten;
• Angriffe, die physischen Zugriff auf ein entsperrtes Gerät, ein bereits kompromittiertes Gerät (gerootet, gejailbreakt, infiziert) oder ein Konto voraussetzen, dessen Passwort der Angreifer schon kennt;
• Denial of Service durch Masse (Flooding, Lasttests), Spam sowie Social Engineering oder Phishing gegen unsere Mitarbeitenden;
• Ergebnisse automatischer Scanner ohne nachgewiesene Auswirkung, Self-XSS sowie fehlende Header-, TLS-, Cookie- oder E-Mail-Einstellungen (SPF, DKIM, DMARC) auf unseren Websites ohne konkreten Weg, sie auszunutzen.

Prämien und guter Glaube

Keine Prämie

Wir betreiben kein Bug-Bounty-Programm und zahlen nicht für Meldungen. Gern nennen wir Sie im Sicherheitshinweis.

Forschung in gutem Glauben

Wenn Sie in gutem Glauben und im Rahmen dieser Richtlinie handeln – Sie testen nur Systeme, die Ihnen gehören oder die Sie testen dürfen (etwa Ihre eigene Installation), Sie greifen nicht auf mehr Daten zu und ändern oder löschen nicht mehr, als nötig ist, um das Problem zu zeigen, Sie stören keinen Dienst und melden uns das Problem umgehend und vertraulich –, werden wir wegen dieser Forschung keine rechtlichen Schritte gegen Sie einleiten.

Meldungen an Behörden

Nach dem Cyber Resilience Act der EU (Verordnung (EU) 2024/2847, Artikel 14) melden wir eine aktiv ausgenutzte Schwachstelle in einem unserer Produkte oder einen schwerwiegenden Vorfall, der seine Sicherheit beeinträchtigt, sobald wir davon Kenntnis erlangen, über die zentrale Meldeplattform der ENISA an das als Koordinator benannte CSIRT (für uns CSIRT Italia) und an die ENISA, innerhalb der Fristen der Verordnung, und wir informieren die betroffenen Nutzer. Wird Ihre Meldung Teil einer solchen Meldung, sagen wir es Ihnen und geben nur weiter, was dafür nötig ist.

Sicherheitshinweise

Bisher keine veröffentlicht. Wird die Behebung einer Schwachstelle veröffentlicht, erscheint ihr Sicherheitshinweis hier, mit den betroffenen Versionen und der behobenen Version, dem Schweregrad und dem, was Nutzer tun sollten.

Kontakt in maschinenlesbarer Form: security.txt (RFC 9116).