Richtlinie zur Meldung von Schwachstellen

Wenn du ein Sicherheitsproblem in fremforge gefunden hast, erfährst du hier, wie du es meldest, was in den Geltungsbereich fällt, was nicht, und was wir dir im Gegenzug zusagen. Wir folgen ISO/IEC 29147 (Offenlegung von Schwachstellen) und RFC 9116 (security.txt).

Das maschinenlesbare Gegenstück zu dieser Seite liegt unter /.well-known/security.txt auf jeder von fremforge betriebenen Domain. Forschende und automatisierte Werkzeuge sollten diesen Endpunkt verwenden; diese Seite ist für Menschen da, die über ein Suchergebnis kommen.

So meldest du

• E-Mail: security@frem.sh (Fingerprint des PGP-Schlüssels steht in security.txt).
• Bevorzugter Kanal: verschlüsselte E-Mail. Unverschlüsselte E-Mail wird angenommen; SMTP-TLS zu mailbox.org ist bei der Zustellung Pflicht.
• Ziel für die Bestätigung: innerhalb von 24 Stunden.
• Ziel für die Triage: Innerhalb von 5 Werktagen schicken wir dir unsere Einschätzung des Schweregrads, das erwartete Zeitfenster für die Korrektur und eine Referenz zur Nachverfolgung.

Bitte eröffne keine öffentlichen Issues auf frem.sh und veröffentliche keine Details in sozialen Medien oder Foren, bis wir einen Termin für die Offenlegung abgestimmt haben.

Was in den Geltungsbereich fällt

• frem.sh und jede Subdomain, die wir betreiben (*.frem.sh).
• fremverk.com und *.fremverk.com.
• Container-Images, die fremforge veröffentlicht (das Image der gehosteten Runner und die Plattform-Images).
• Probleme in der kundenseitigen API von fremforge, der Admin-Oberfläche oder den CI-Runnern.

Was nicht in den Geltungsbereich fällt (und nicht belohnt wird)

• Befunde in Inhalten, die Kunden gehören: Code, Secrets, Dateien in Repositorys von Mandanten. Melde diese direkt dem Mandanten; das ist ein Vorfall auf Kundenseite.
• Schwachstellen in unseren Open-Source-Abhängigkeiten aus dem Upstream (z. B. eine CVE in forgejo selbst). Bitte melde diese über das Offenlegungsprogramm des Upstream-Projekts. Wir verfolgen und patchen sie, sobald eine CVE öffentlich ist.
• Probleme, die physischen Zugang, Social Engineering gegenüber Mitarbeitenden von fremverk oder Dienste Dritter im selben Netz wie fremforge-Nutzer erfordern.
• Meldungen auf Basis veralteter Informationen (z. B. ein Screenshot einer alten Admin-Seite von vor einer öffentlichen Migration).
• „Best Practice“-Befunde ohne ausnutzbares Szenario (z. B. „ihr solltet Header X setzen“): nützlich, aber keine Schwachstelle.
• Meldungen zu DDoS, Brute Force oder dem Umgehen von Rate Limits. Das ist Feinabstimmung der Infrastruktur, keine Sicherheitslücke.

Behebungsfristen

Die Uhr beginnt mit unserer Bestätigung.

Zeitpläne für die Offenlegung können in gegenseitigem Einvernehmen verlängert werden (z. B. wenn die Korrektur eine Handlung der Kunden erfordert, die Zeit braucht).

Safe Harbour

Wir gehen weder zivil- noch strafrechtlich gegen dich vor und erstatten keine Anzeige, wenn du deine Forschung in gutem Glauben betreibst und dabei:

• nicht auf Daten zugreifst, die dir nicht gehören, und sie weder änderst noch löschst. Verwende wo immer möglich Testkonten.
• den Dienst für andere Nutzer nicht beeinträchtigst: kein DoS, kein Scannen mit hohem Volumen, kein automatisiertes Brute Force.
• nicht mehr Daten abziehst, als nötig ist, um die Auswirkung zu zeigen. Ein paar Bytes genügen; die Datenbank brauchen wir nicht.
• das Problem vertraulich über security@frem.sh meldest und uns ein angemessenes Zeitfenster für die Korrektur gibst, bevor du an die Öffentlichkeit gehst.
• das geltende Recht in der Rechtsordnung einhältst, von der aus du arbeitest.

Forschung, die in gutem Glauben unter diesen Bedingungen betrieben wird, ist nach dem Computer Misuse Act 1990 §17(5)(c) (UK), der „research“-Ausnahme des Computer Fraud and Abuse Act 18 U.S.C. §1030(f) (soweit anwendbar) und den entsprechenden Regelungen in den EU-Mitgliedstaaten autorisiert. Wo das örtliche Recht eine ausdrückliche Autorisierung verlangt, stellt diese Seite sie dar.

Bounty-Programm

Derzeit betreiben wir kein bezahltes Bounty-Programm. Wir führen aber eine öffentliche Hall of Fame für Forschende, die bestätigte Probleme melden und mit der Nennung ihres Namens einverstanden sind, und wir schicken für jede Meldung, zu der wir eine Korrektur ausliefern, ein Dankeschön-Paket von fremverk (T-Shirt, Anstecker, Sticker-Set).

Wir rechnen damit, ein bezahltes Programm einzuführen, sobald fremforge die Kundenzahl erreicht, ab der es für beide Seiten sinnvoll ist; derzeit geplant für das zweite Halbjahr 2026.

Bisherige öffentliche Offenlegungen

Wenn wir eine Korrektur für ein gemeldetes Problem ausliefern, veröffentlichen wir ein kurzes Post-Mortem auf der Statusseite und nennen die meldende Person (sofern sie zugestimmt hat). Ein eigener Index der Advisories wird nach dem Launch unter dieser URL liegen.

Siehe auch

• security.txt: die maschinenlesbare Fassung dieser Seite.
• Integrität der Audit-Kette: relevanter Kontext für Meldungen der Art „das Audit-Log kann von niemandem wiedergegeben werden“.
• SIEM-Weiterleitung: relevanter Kontext für Meldungen der Art „der Kunde sieht das Ereignis nicht“.