Divulgation des vulnérabilités : assurons ensemble la sécurité de nos systèmes
L'équipe de réponse aux incidents de sécurité de Cloudera constitue un point de contact unique pour les clients et la communauté afin de signaler et de fournir des informations sur les failles de sécurité des produits Cloudera. Elle travaille en interne avec les équipes d'ingénierie et d'assistance de Cloudera, ainsi qu'avec la communauté Apache externe, afin d'identifier, de corriger et de communiquer les failles de sécurité de l'ensemble des produits Cloudera.
Comment signaler une vulnérabilité
Cloudera encourage vivement ses clients et la communauté à signaler toute faille de sécurité à notre équipe chargée de la sécurité avant de les divulguer sur un forum public.
Si vous n'êtes pas un client actuel de Cloudera, veuillez envoyer un e-mail à security@cloudera.com pour signaler une vulnérabilité.
- Si vous êtes client(e) de Cloudera, veuillez créer un ticket d'assistance via le portail d'assistance. Veillez à fournir des informations détaillées sur la version du logiciel que vous utilisez et le matériel sur lequel il est exécuté. Pour toute vulnérabilité découverte sur www.cloudera.com ou sur des sites affiliés, veuillez inclure l'URL complète du site ou de la page où la vulnérabilité peut être reproduite.
Veuillez ne pas nous envoyer de rapports concernant les vulnérabilités suivantes :
Problèmes généraux de faible gravité signalés par les scanners automatiques
En-têtes de sécurité manquants (par exemple HSTS, CSP, SPF, DMARC)
Drapeaux manquants sur les cookies
Problèmes SSL (chiffrement faible/taille de clé)
Falsification de requêtes intersites (CSRF) sur des formulaires non authentifiés ou sans incidence sur la sécurité
Clickjacking
Autres problèmes généraux de faible gravité signalés par les scanners automatisés
Limitation du débit (sauf si cela constitue un risque significatif)
Attaques nécessitant un accès MITM ou physique à l'appareil de l'utilisateur
Bibliothèques vulnérables déjà connues sans preuve de concept fonctionnelle
Vulnérabilités affectant uniquement les utilisateurs de navigateurs obsolètes ou non corrigés [moins de 2 versions stables derrière la dernière version stable publiée]
Divulgation de la version du logiciel / Problèmes d'identification des bannières
Pour envoyer votre rapport en toute sécurité à Cloudera, veuillez utiliser la clé GPG ci-dessous.
EMPREINTE DIGITALE DE LA CLÉ
BLOC DE CLÉS PUBLIQUES GPG
Copiez et collez la clé ci-dessous :
Politique en matière de prime aux bogues
Cloudera n'offre actuellement aucune prime aux bogues (Bug Bounty) pour les vulnérabilités de ses produits ou sites web.