外部协调漏洞披露（CVD）政策

1. 引言与宗旨

本公司產品安全事件回應團隊(PSIRT)深知产品安全对用户的重要性。我们欢迎安全研究人员、业界专家及广大用户协助我们发现产品中可能存在的漏洞。我们承诺，对于遵循本政策流程报告漏洞且未对用户造成实际损害的报告者，我们将提供“安全港”保护，不提起法律诉讼。

 

2. 适用范围

本政策适用于本公司生产/运营的所有在线连接设备及其相关的远程数据处理解决方案（RDPS），包括但不限于：

a. 所有型号的硬件产品。

b. 所有版本的配套移动应用程序。

c. 用于提供后端服务的云端接口。

 

3. 报告渠道与联系方式

本公司产品安全事件回应团队（PSIRT）深知产品安全对用户的重要性。

我们的产品安全事件回应团队（PSIRT）提供多种渠道接收漏洞报告，并支持匿名提交。

安全邮箱：cvd-cra@tes-tec.com (推荐使用 PGP 加密)。

 

4. 报告内容建议

为了协助我们快速核实并修复漏洞，建议报告中包含：

a. 产品标识：受影响的产品型号、固件版本或 URL。

b. 漏洞类型：如拒绝服务 (DoS)、未授权访问、敏感信息泄露等。

c. 核实证据 (PoC)：复现漏洞的具体步骤、截图或视频。

d. 潜在影响：您评估该漏洞可能对用户造成的影响。

 

5. 沟通流程与时间表预期

接收确认：我们将在收到报告后的3~5个工作日内向您发送接收确认回执。

状态更新：在验证及修复期间，我们将至少每隔 2~3个工作日向您提供一次进度更新。

 

6.协调披露策略

我们遵循“协调披露”原则：

a. 在官方补丁或缓解措施发布前，报告者不应公开任何漏洞细节。

b. 通常在修复程序发布后的一周内，我们会发布正式的安全公告。

c. TES没有提供安全漏洞赏金计划。

 

7.安全通信

我们建议通过加密手段传输敏感信息。

您可以下載获取本公司的 PGP 公钥：https://www.tes-tec.com/upload/menu_54/TES-PGP-Public-Key.zip 。