Meldung von Sicherheitslücken

Wir freuen uns über Meldungen von Sicherheitsforschern und allen, die eine Schwachstelle in www.mule.sh, im Mule Portal oder in einem von Mule betriebenen System finden. Diese Richtlinie erklärt, wie Sie eine Meldung abgeben und wozu wir uns verpflichten. Unseren maschinenlesbaren Kontakt finden Sie unter /.well-known/security.txt.

So melden Sie

Schreiben Sie an juastins@icloud.com mit „Security“ im Betreff. Geben Sie an:

• was Sie gefunden haben und wo (URL, System, Komponente);
• die Schritte zur Reproduktion und gegebenenfalls einen Proof of Concept;
• die Auswirkungen, wie Sie sie einschätzen;
• wie wir Sie erreichen können.

Meldungen auf Englisch, Niederländisch, Französisch oder Deutsch sind willkommen.

Wozu wir uns verpflichten

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
• Wir halten Sie auf dem Laufenden, während wir das Problem untersuchen und beheben.
• Wir ergreifen keine rechtlichen Schritte gegen Sicherheitsforschung in gutem Glauben, die dieser Richtlinie folgt.
• Wir nennen Sie auf Wunsch namentlich, sobald das Problem behoben ist.

Bitte beachten Sie

• Testen Sie nur mit Ihren eigenen Konten und Daten. Greifen Sie nicht auf Daten anderer Personen zu und ändern oder löschen Sie diese nicht.
• Führen Sie keine Denial-of-Service-Tests, kein Social Engineering, keine physischen Angriffe und keinen Spam durch.
• Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie es öffentlich machen. Wir streben 90 Tage oder weniger an.
• Brechen Sie ab und informieren Sie uns, wenn Sie auf personenbezogene Daten, Kundendatensätze oder Zugangsdaten stoßen.

Nicht im Geltungsbereich

Von anderen gehostete Kundensysteme; Meldungen automatisierter Scanner ohne nachgewiesene Auswirkung; fehlende Best-Practice-Header ohne Exploit; Probleme bei Diensten Dritter, die an den jeweiligen Anbieter zu richten sind.

Derzeit betreiben wir kein bezahltes Bug-Bounty-Programm.