Hexagon 脆弱性開示プログラム

ポリシー

Hexagonの製品によって管理されるユーザーデータの安全性とセキュリティは、Hexagonのビジョンと使命を支える重要な要素です。Hexagonは、Hexagon製品のセキュリティに対する外部のセキュリティ調査コミュニティの協力を歓迎します。製品にセキュリティのバグが見つかった場合、Hexagonはセキュリティ問題を解決するために尽力します。

Hexagonは、セキュリティ調査コミュニティの貢献を高く評価し、脆弱性開示に対する統合的アプローチの重要性を認識しています。セキュリティについて脆弱性を発見した場合は、ただちにHexagonへお知らせください。Hexagonは、問題を迅速に解決するためにお客様と協力する機会を歓迎します。

業界標準の遵守はHexagonにとって重要であり、脆弱性開示、セーフハーバーとオープンスコープ、コア不適格所見、詳細プラットフォーム標準がHexagonプログラムに含まれます。

このリンクを使用してレポートを送信してください。

私たちは常に改善を目指しています。Hexagon脆弱性開示プログラム(VDP)の改善方法についてセキュリティに関するご質問またはご提案は、こちら([email protected])までお問い合わせください。

適用範囲の製品

適用範囲にはHexagon AB が所有、運営、管理するデジタルアセットで特定されたセキュリティの脆弱性が含まれます。

公開情報

当社は、セキュリティに関する透明性を信じています。発見された有効な脆弱性 / 欠陥は、常に製品リリース文書に報告されます。

適格性および責任ある開示

脆弱性の発見と報告を促進し、ユーザーの安全性を高めるために、当社は以下をお願いしています。

セキュリティ問題を詳細にお知らせください。
既存のアプリケーションを尊重してください。自動化された脆弱性スキャナーによるフォームのスパム送信は、責任ある開示ではありません。
問題に関する情報を公表する前に、Hexagonに問題の対処に妥当な時間を与えてください。
所有者の明示的な許可がない限り、Hexagonのデータまたはユーザーのデータにアクセスしたり、変更したりしないでください。テストアカウントはご自身のアカウントのみ、またはセキュリティ調査目的のみでやり取りしてください。
偶然にユーザーデータを閲覧してしまった場合、直ちにHexagonにご連絡ください。データを表示、変更、保存、保管、転送、またはアクセスしないでください。また、Hexagonに脆弱性を報告したら、直ちにローカル情報を削除してください。
プライバシー違反、データの破壊、弊社サービスの中断または劣化（サービス拒否を含む）を防止するために、誠実に行動してください。
それ以外の場合は、すべての適用法を遵守してください。

ベストプラクティスレポート

お客様のレポートができるだけ効果的で、開発チームによるバグの評価と再現が確実になるようにするために、バグレポートには以下のベストプラクティスを提案します。

脆弱性の実際の影響と潜在的な影響、およびこれらの影響がどのように利用されるかについての詳細の情報を含んでより強力なレポートを作成してください。
バグの検出に使用した方法と、それを再現する手順を含めてください。
バグが検証されたことを確認した後でのみ、結果を送信してください。
英語での提出が推奨されますが、十分な詳細で英語で提出できない場合は、母国語で報告を提出してください。

対象外の脆弱性

以下の問題はVDPの範囲外です：

パスワード、電子メールアドレス、アカウントポリシー（電子メール ID の検証、リンクの有効期限のリセット、パスワードの複雑さなど）。
当社製品への物理的アクセスを必要とする調査。
脆弱性に直接つながらないセキュリティヘッダーの欠落。
既知の脆弱性のあるライブラリの使用（悪用可能性の証拠がない。)
自動化されたツールまたはスキャンからのレポート。
攻撃者のアプリが当社アプリにオーバーレイする許可を必要とする攻撃（例えば、タップまたはクリックジャック）。
ウェブフォームに存在するオートコンプリート属性。
Hexagonアカウントに特定のユーザー名、電子メールアドレスがあるかどうかを知る方法を説明するレポート。
対象ユーザーがルート化された携帯機器の操作を必要とする場合のデータへのアクセス。
新たな特権の取得方法を示さないダイナミックリンクライブラリ(DLL)のハイジャックに関するレポート。
認証に関連しない限り、レート制限を行わないこと。
パスワードの変更時にリンクを解除しないデバイス（iOS、android、デスクトップアプリ）。

本ポリシーの遵守結果

当社は、本方針の偶発的な善意の違反について、民事訴訟を追求したり、法執行機関に苦情を申し立てたりすることはありません。当社は、このポリシーに従って行われた活動を、コンピューター不正行為防止法下での「許可された」行為と見なします。お客様の活動が当社の利用規定の特定の制限に矛盾する場合、本ポリシーに基づくセキュリティ調査を許可する限定された目的でこれらの制限を解除します。当社は、適用範囲内のアプリケーションを保護するために使用した技術手段を回避するために、デジタルミレニアム著作権法(DMCA)の請求権をお客様に提起することはありません。

お客様の報告がHexagonのビジネスパートナーの脆弱性に関する場合、Hexagonは、報告された脆弱性の試験と解決を促進するために、お客様の身元を含め、提出内容全体をビジネスパートナーと共有する権利を留保します。第三者がお客様に対して法的措置を開始し、お客様が HexagonのVDPを遵守している場合、Hexagonは、お客様の措置が本ポリシーに従って実施されたことを告知するための措置を講じます。

Hexagonは、独自の裁量で、Hexagon製品への無料アクセスを提供する場合があります。このアクセスは、お客様のテストを有効にする目的でのみ行われ、事前の通知の有無にかかわらず、いつでも取り消すことができます。

Hexagonは現在、バグバウンティ（脆弱性発見報奨金制度）を運営していません。Hexagonに脆弱性開示プログラムの下ですべての通知は、善意に基づき、より広いコミュニティの最善の利益のために送信されます。