Die lytra GmbH begrüßt Meldungen über Sicherheitsschwachstellen in unseren Produkten. Diese Richtlinie erklärt, wie Sie eine Schwachstelle melden und wozu wir uns im Gegenzug verpflichten.
Sie ist unsere Richtlinie zur koordinierten Offenlegung von Schwachstellen nach Anhang I Teil II Nummer 5 der Verordnung (EU) 2024/2847 (Cyberresilienzgesetz).
Geltungsbereich
Im Geltungsbereich
- Die lytra Browser-Erweiterungen für Google Chrome und Microsoft Edge
- Das lytra Add-in für Microsoft Outlook
- Der lytra Data Client in Kundenumgebungen
- Unsere Webdienste:
app.lytra.ai,api.lytra.ai,auth.lytra.ai,extension.lytra.ai
Außerhalb des Geltungsbereichs
- Staging-, Test- und Feature-Branch-Umgebungen (
*.staging.lytra.ai). Dort liegen keine Produktivdaten, und Funde dort werden nicht berücksichtigt. - Dienste Dritter, die wir nutzen, aber nicht betreiben
- Von unseren Kunden betriebene Infrastruktur, einschließlich deren Mailsysteme und Datenbanken
- Funde, die ein kompromittiertes Endgerät, eine bösartige Browser-Erweiterung oder physischen Zugriff auf ein angemeldetes Gerät voraussetzen
- Meldungen, die ausschließlich aus einem automatisierten Scan stammen, ohne nachgewiesene Auswirkung
- Fehlende Hardening-Header, Präferenzen zur TLS-Konfiguration oder Beobachtungen zur Ratenbegrenzung ohne nachgewiesenen Angriffsweg
Wie Sie melden
Senden Sie eine E-Mail an security@lytra.ai, auf Deutsch oder Englisch.
Eine hilfreiche Meldung enthält:
- Das betroffene Produkt bzw. die betroffene Domain und die Version, in der Sie die Schwachstelle beobachtet haben
- Was die Schwachstelle einem Angreifer ermöglicht und unter welchen Voraussetzungen
- Schritte zur Reproduktion, idealerweise mit einem Proof of Concept
- Ihre Einschätzung des Schweregrads sowie mögliche Gegenmaßnahmen
Regeln für die Untersuchung
Bitte halten Sie sich bei der Untersuchung unserer Produkte an diese Regeln:
- Verwenden Sie Ihr eigenes Testkonto. Greifen Sie nicht auf Daten anderer Kunden zu, und verändern, löschen oder exfiltrieren Sie diese nicht. Stoßen Sie versehentlich auf Daten Dritter, brechen Sie ab, behalten Sie keine Kopie und weisen Sie uns in Ihrer Meldung darauf hin.
- Beeinträchtigen Sie den Dienst nicht. Keine Denial-of-Service-Tests, keine Last- oder Stresstests und kein automatisiertes Scannen in einem Umfang, der andere Nutzer beeinträchtigt.
- Kein Social Engineering gegenüber unseren Mitarbeitenden, Kunden oder Lieferanten und kein Phishing.
- Keine physischen Angriffe auf unsere Büros oder Mitarbeitenden.
- Melden Sie zeitnah und geben Sie uns angemessen Gelegenheit, die Schwachstelle zu beheben, bevor Sie Dritte informieren.
- Keine Erpressung. Eine Meldung, die an eine Zahlung geknüpft ist, ist keine Sicherheitsmeldung und wird entsprechend behandelt.
Wozu wir uns verpflichten
- Empfangsbestätigung: innerhalb von 3 Werktagen nach Eingang
- Ergebnis der Ersteinschätzung: innerhalb von 10 Werktagen: angenommen, mit Begründung abgelehnt oder Rückfrage
- Statusmeldungen: mindestens alle 14 Tage, solange die Meldung offen ist
- Zielfristen zur Behebung: kritisch innerhalb von 7 Tagen, hoch innerhalb von 30 Tagen, mittel innerhalb von 90 Tagen, niedrig mit dem nächsten geplanten Release
Wir informieren Sie, sobald eine Behebung ausgeliefert wird. Betrifft eine Schwachstelle ein veröffentlichtes Produkt, veröffentlichen wir unten ein Security Advisory. Es beschreibt die Schwachstelle, die betroffenen Versionen, die Auswirkung und die Behebung, wie in Anhang I Teil II Nummer 4 des Cyberresilienzgesetzes gefordert.
Wir streben an, das Advisory innerhalb von 90 Tagen nach Ihrer Meldung zu veröffentlichen, oder früher, sofern die Behebung eher vorliegt. Würde die Veröffentlichung Nutzer einem unverhältnismäßigen Risiko aussetzen, bevor sie das Update realistisch einspielen können, können wir sie verschieben und teilen Ihnen die Gründe mit.
Sofern Sie nicht widersprechen, nennen wir Sie im Advisory namentlich.
Kein Bug-Bounty-Programm
Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm und vergüten Meldungen nicht. Wir würdigen Beiträge durch namentliche Nennung in unseren Advisories.
Eskalation
Haben Sie eine Schwachstelle gemeldet und binnen 10 Werktagen keine Antwort erhalten, schreiben Sie an info@lytra.ai.
Security Advisories
Bisher wurden keine Advisories veröffentlicht.