Produktsicherheit und Meldung von Schwachstellen

Diese Dokumentation nennt Ihnen die zentrale Kontaktstelle der agorum Software GmbH für sicherheitsrelevante Meldungen zu agorum core. Sie beschreibt, was in eine Meldung gehört und wie agorum^® mit Ihrer Meldung umgeht.

Hersteller von agorum core im Sinne der Verordnung (EU) 2024/2847 (Cyber Resilience Act) ist die agorum Software GmbH.

Dieses Dokument ist die veröffentlichte Strategie der agorum Software GmbH für die koordinierte Offenlegung von Schwachstellen, die Coordinated Vulnerability Disclosure Policy nach Anhang II Nummer 2 der Verordnung (EU) 2024/2847.

Zentrale Kontaktstelle

Melden Sie Schwachstellen und sicherheitsrelevante Beobachtungen zu agorum core über das Formular auf der Webseite oder per E-Mail an folgende Adresse:

security.report@agorum.com

Diese Adresse ist die von der agorum Software GmbH benannte zentrale Kontaktstelle nach Artikel 13 Absatz 17 der Verordnung (EU) 2024/2847 (Cyber Resilience Act). agorum^® nimmt Meldungen in deutscher und englischer Sprache entgegen.

Was in eine Meldung gehört

Je vollständiger Ihre Meldung ist, desto schneller kann agorum^® die Schwachstelle nachvollziehen und beheben. Geben Sie folgende Angaben an:

• betroffenes Produkt und betroffene Version, beispielsweise agorum core pro 11.14.3
• Betriebssystem, Datenbank und Art des Betriebs, beispielsweise Docker, virtuelle Maschine oder agorum^® Cloud
• Beschreibung der Schwachstelle und der betroffenen Komponente
• Schritte, mit denen sich das Verhalten reproduzieren lässt
• die von Ihnen erwartete Auswirkung, beispielsweise Zugriff auf fremde Objekte oder Ausführung von Code
• vorhandene Nachweise wie Logauszüge oder Bildschirmaufnahmen 
• Ihre Kontaktdaten für Rückfragen und die Angabe, ob Sie namentlich genannt werden möchten

Senden Sie keine personenbezogenen Daten und keine echten Kundendaten mit. Anonymisieren Sie Beispieldaten, bevor Sie sie übermitteln.

Ihre eigenen Angaben behandelt agorum^® auf Wunsch vertraulich. Teilen Sie in Ihrer Meldung mit, ob Sie namentlich genannt werden möchten.

Wie agorum^® mit Ihrer Meldung umgeht

agorum^® bearbeitet Meldungen nach einer Strategie für die koordinierte Offenlegung von Schwachstellen, international als Coordinated Vulnerability Disclosure Policy oder kurz CVD-Policy bezeichnet. Der Ablauf ist folgender:

1. agorum^® bestätigt den Eingang Ihrer Meldung.
2. agorum^® prüft die Meldung, bewertet die Schwere und teilt Ihnen das Ergebnis der Bewertung mit.
3. Handelt es sich um eine von agorum^® bestätigte Sicherheitslücke, behebt agorum^® sie und stellt eine Aktualisierung bereit.
4. agorum^® veröffentlicht einen Sicherheitshinweis im Changelog und nennt Sie auf Wunsch als Meldende oder Meldenden.

Bei einer aktiv ausgenutzten Schwachstelle verkürzt agorum^® diesen Ablauf und meldet den Vorgang zusätzlich an die zuständigen Stellen nach Artikel 14 der Verordnung (EU) 2024/2847.

Sicherheitshinweise veröffentlicht agorum^® im Changelog zu agorum core. Der Sicherheitshinweis nennt die betroffenen Versionen, die Einordnung der Schwere und die Maßnahmen, mit denen Sie die Schwachstelle beheben.

Betrifft Ihre Meldung eine Komponente eines Drittanbieters, die in agorum core eingesetzt wird, gibt agorum^® die Informationen bei Bedarf zusätzlich an die Betreiber dieser Komponente weiter.

Einordnung von agorum core nach dem Cyber Resilience Act

agorum core ist ein Produkt mit digitalen Elementen der Standardkategorie im Sinne der Verordnung (EU) 2024/2847. Das Produkt ist weder in Anhang III der Verordnung (wichtige Produkte mit digitalen Elementen, Klasse I und Klasse II) noch in Anhang IV (kritische Produkte mit digitalen Elementen) aufgeführt. Die Konformitätsbewertung erfolgt daher im Verfahren der internen Kontrolle.