Atredis Partners Security Advisories

A Atredis Partners acredita que a divulgação coordenada e oportuna de vulnerabilidades de segurança é do melhor interesse dos nossos clientes e do público em geral. A Atredis Partners identifica regularmente vulnerabilidades de segurança no decorrer do nosso trabalho, tanto durante compromissos com clientes como através da nossa própria investigação de segurança independente.

Para vulnerabilidades identificadas no decorrer de um compromisso, colaboramos no fluxo de trabalho de divulgação com os nossos clientes, seguindo o procedimento de divulgação do cliente, quando aplicável. Para vulnerabilidades identificadas pela Atredis Partners fora de compromissos com clientes, coordenamos o processo de divulgação com o fornecedor responsável, juntamente com a organização CERT/CC.

O processo demora tipicamente 90 dias e consiste nos seguintes passos:

1. A Atredis tentará contactar o fornecedor do produto ou o(s) autor(es) do software apropriado por email e/ou telefone.
2. A Atredis fornecerá informações detalhadas sobre a vulnerabilidade ao fornecedor do produto ou ao(s) autor(es) do software.
3. 45 dias após esta notificação, a Atredis enviará uma cópia dos detalhes da vulnerabilidade para o CERT/CC, que poderá ajudar com coordenação adicional.
4. 90 dias após notificar o fornecedor do produto e cumprindo a política de divulgação de 45 dias do CERT/CC, a Atredis e o CERT/CC publicarão um advisory contendo os detalhes e o estado da vulnerabilidade. Este calendário de 90 dias pode mudar para acomodar fins de semana, feriados e circunstâncias atenuantes. Este advisory será disponibilizado ao público em geral.