网络安全
相关信息
MEIKO 漏洞处置
介绍
MEIKO 感谢所有收到的安全风险线索，并将本着审慎、透明的原则进行处理。通过排查各类漏洞，我们能够持续为客户提供高水准的安全保障。因此，识别各种薄弱环节并制定妥善的解决方案，符合我们的利益。
本漏洞披露政策说明了在向我们（以下简称“本机构”）报告漏洞，以及检查我们的产品是否存在弱点时应遵循的流程。
建议您在报告漏洞前完整阅读本漏洞披露政策，并始终遵守其中的规定。我们重视所有依照本政策投入时间和精力报告安全漏洞的人士。但我们不会为漏洞披露提供金钱奖励。
报告方
报告方须对自身行为负责，并在调查和报告漏洞时遵循比例原则和辅助性原则。换言之，报告方不应采取超出证明漏洞所需范围的行动，并应始终首先向系统/信息所有者报告该漏洞。
作为相应保障，如您遵守本政策的规定，本机构不会因您善意开展漏洞调查并提交报告而对您采取法律行动。如存在恶意意图的相关证据，则该法律保护不再适用。
报告方必须
- 尽快报告该问题，以防恶意行为者发现并利用该漏洞。
- 以保密方式向本机构提交报告，以防他人获取相关信息。
报告方与本机构应就漏洞披露事宜达成明确协议。如果涉及多个机构，基本原则是：只有在所有相关机构均同意的情况下，才能公开漏洞。
报告
如您发现安全漏洞，请通过以下电子邮件地址向我们提交报告：service-support@meiko-global.com
仅受理以英文或德文撰写的电子邮件。
请在报告中提供以下漏洞详情：
- 可观察到该漏洞的资产（网址、IP 地址、产品或服务名称）
- 弱点类型（例如 CWE）（选填）
- 严重程度（例如 CVSS v3.1）（选填）
- 漏洞标题（必填）
- 漏洞描述（应包括摘要、佐证文件，以及可能的缓解措施或建议）（必填）
- 影响（攻击者可能实施哪些操作？）（必填）
- 复现步骤。复现内容应当为无害、无破坏性的概念验证。
选填联系方式：
- 姓名
- 电子邮件地址
后续处理
您提交报告后，我们将按照内部流程，确保报告流转至最合适的负责部门。提交后，处理流程如下：
- 本机构将向报告方发送确认收件通知。
- 我们将依据风险评估结果（影响范围、严重等级、利用难度）对报告进行评估与处置。
- 本机构会持续向报告方告知处理状态
- 报告方应避免每隔不到 14 天就询问一次处理进度
- 如果有合理理由认为该漏洞也存在于其他地方，本机构将与报告方协商后公布调查结果。
- 我们将对您提交的报告严格保密
- 未经您的许可，我们不会向第三方提供您的个人资料。
行为指引
请勿：
- 利用您发现的漏洞或问题，例如进行不必要的访问，或获取过量或大量数据
- 在问题解决之前，不得向他人披露该问题
- 修改本机构系统或服务中的数据
- 使用针对实体安全的攻击、社会工程学、分布式拒绝服务攻击、垃圾邮件，或高强度、侵入性或破坏性扫描工具来查找漏洞
- 尝试实施或报告任何形式的拒绝服务攻击，例如发送海量请求压垮服务
- 干扰本机构的服务或系统