Coordinated Vulnerability Disclosure PolicyRichtlinie zur koordinierten Offenlegung von Schwachstellen

Scope

This policy covers products developed and distributed by Delaware Digital Application Solutions LLC (DDAS):

• the CODESYS libraries of the Machine Insight Suite (Date Time, Scheduler, Equipment Performance) and the License Manager library,
• the DDAS Application Template,
• web applications operated by DDAS, such as the CRA Wizard.

Not covered:

• the CODESYS runtime and CODESYS libraries: please report these to CODESYS GmbH,
• machines or systems that use DDAS libraries: please report these to the machine manufacturer,
• denial-of-service tests, social engineering and physical attacks.

How to report

Send your report to security@ddas.digital, in English or German. Please include:

• the affected product and version,
• a description of the vulnerability and where it occurs,
• the steps to reproduce it, ideally with a minimal example,
• the impact you expect,
• how we can reach you, and whether you would like to be credited.

If you need to send sensitive details encrypted, say so in a first message and we will agree on a secure channel.

What happens next

If a fix takes longer, for example because customers have to update machines in the field, we will explain why and agree on a new date with you.

Publication

Once a fix or mitigation is available, we publish a security advisory on this site and as a CSAF 2.0 document. Advisories name the affected versions, the fix and, if you wish, credit you as the reporter. Customers receive the security update through the usual distribution channel.

Where the EU Cyber Resilience Act requires it, DDAS reports actively exploited vulnerabilities and severe incidents to the competent authorities (Article 14 CRA).

Good-faith research

We will not take legal action against anyone who reports a vulnerability in good faith and in line with this policy: who only tests their own installations or test systems, does not access, change or delete data of others, does not disrupt services and gives us reasonable time to fix the issue before disclosing it.

DDAS does not run a bug bounty programme.

Geltungsbereich

Diese Richtlinie gilt für Produkte, die die Delaware Digital Application Solutions LLC (DDAS) entwickelt und vertreibt:

• die CODESYS-Bibliotheken der Machine Insight Suite (Date Time, Scheduler, Equipment Performance) und die Bibliothek License Manager,
• das DDAS Application Template,
• Web-Anwendungen, die DDAS betreibt, zum Beispiel den CRA Wizard.

Nicht erfasst sind:

• die CODESYS-Laufzeit und CODESYS-Bibliotheken: Bitte melden Sie diese der CODESYS GmbH,
• Maschinen oder Anlagen, die DDAS-Bibliotheken verwenden: Bitte melden Sie diese dem Maschinenhersteller,
• Denial-of-Service-Tests, Social Engineering und physische Angriffe.

So melden Sie

Senden Sie Ihre Meldung an security@ddas.digital, auf Deutsch oder Englisch. Bitte nennen Sie:

• das betroffene Produkt und die Version,
• eine Beschreibung der Schwachstelle und wo sie auftritt,
• die Schritte, mit denen sie sich nachstellen lässt, am besten mit einem kleinen Beispiel,
• die Auswirkung, die Sie erwarten,
• wie wir Sie erreichen und ob Sie genannt werden möchten.

Wenn Sie vertrauliche Einzelheiten verschlüsselt senden müssen, schreiben Sie uns das in einer ersten Nachricht. Wir vereinbaren dann einen sicheren Weg.

Wie es weitergeht

Dauert eine Korrektur länger, zum Beispiel weil Kunden Maschinen im Feld aktualisieren müssen, erklären wir Ihnen den Grund und vereinbaren mit Ihnen einen neuen Termin.

Veröffentlichung

Sobald eine Korrektur oder eine Abhilfe verfügbar ist, veröffentlichen wir eine Sicherheitsmeldung auf dieser Seite und als CSAF-2.0-Dokument. Die Meldung nennt die betroffenen Versionen, die Korrektur und, wenn Sie es wünschen, Sie als meldende Person. Kunden erhalten die Sicherheitsaktualisierung auf dem üblichen Vertriebsweg.

Wo der Cyber Resilience Act der EU es verlangt, meldet DDAS aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle den zuständigen Behörden (Artikel 14 CRA).

Forschung in gutem Glauben

Wir gehen nicht rechtlich gegen Personen vor, die eine Schwachstelle in gutem Glauben und im Einklang mit dieser Richtlinie melden: die nur eigene Installationen oder Testsysteme prüfen, nicht auf Daten anderer zugreifen, sie nicht ändern oder löschen, keine Dienste stören und uns angemessene Zeit für die Korrektur lassen, bevor sie die Schwachstelle offenlegen.

DDAS betreibt kein Bug-Bounty-Programm.