Coordinated Vulnerability Disclosure (CVD) Policy
Stand: 2026-05-19 · ForgeIEC
Geltungsbereich
Diese Policy gilt für alle von ForgeIEC veröffentlichten Software-Produkte,
insbesondere ForgeIEC Screen, Anvil PLC Runtime
und die zugehörigen Komponenten unter *.forgeiec.io.
Kontakt
Prozess
- Eingangsbestätigung binnen 72 Stunden ab Meldung.
- Erstanalyse mit Priorisierung (CVSS-basiert) binnen 7 Werktagen.
- Embargoperiode in Abstimmung mit dem Meldenden — Default 90 Tage,
verkürzbar bei aktiver Ausnutzung, verlängerbar bei besonders komplexen Issues.
- Patch-Release über
apt.forgeiec.io mit Security-Advisory.
- CVE-Vergabe in Abstimmung mit MITRE/ENISA, sobald Patch verfügbar.
- Public Disclosure nach Ablauf des Embargos — Coordinated.
Safe Harbour
ForgeIEC verzichtet auf rechtliche Schritte gegen Sicherheitsforscher, die im
guten Glauben Schwachstellen melden und dabei:
- keine Nutzerdaten exfiltrieren, modifizieren oder zerstören,
- keine Denial-of-Service-Angriffe auf Produktivsysteme durchführen,
- diese Policy einhalten und mit ForgeIEC vor jeder Veröffentlichung koordinieren.
Aus dem Scope
- Reine Konfigurationsfehler einzelner Betreiber-Installationen.
- Social-Engineering-Angriffe gegen ForgeIEC-Mitarbeiter.
- Schwachstellen in Open-Source-Komponenten Dritter, ohne dass ForgeIEC sie
selbst eingebracht oder modifiziert hat — bitte direkt an den Upstream melden.
Verweise