Beleid voor het melden van kwetsbaarheden

Heb je een beveiligingsprobleem in fremforge gevonden? Op deze pagina lees je hoe je het meldt, wat binnen en buiten de scope valt, en wat wij je in ruil beloven. We volgen ISO/IEC 29147 (melden van kwetsbaarheden) en RFC 9116 (security.txt).

De machineleesbare tegenhanger van deze pagina staat op /.well-known/security.txt op elk domein dat fremforge beheert. Onderzoekers en geautomatiseerde tools gebruiken dat endpoint; deze pagina is er voor mensen die via een zoekresultaat binnenkomen.

Zo meld je het

• E-mail: security@frem.sh (de vingerafdruk van de PGP-sleutel staat in security.txt).
• Voorkeurskanaal: versleutelde e-mail. Gewone e-mail wordt ook geaccepteerd; SMTP TLS naar mailbox.org is bij aflevering verplicht.
• Doel voor ontvangstbevestiging: binnen 24 uur.
• Doel voor triage: binnen 5 werkdagen sturen we je onze inschatting van de ernst, de verwachte termijn voor een fix en een referentie waarmee je de melding kunt volgen.

Open geen openbare issues op frem.sh en plaats geen details op sociale media of fora voordat we samen een datum voor openbaarmaking hebben afgesproken.

Wat binnen de scope valt

• frem.sh en elk subdomein dat we beheren (*.frem.sh).
• fremverk.com en *.fremverk.com.
• Containerimages die fremforge publiceert (het image van de gehoste runner en de platformimages).
• Problemen in de klantgerichte API, de beheeromgeving of de CI-runners van fremforge.

Wat buiten de scope valt (en niet wordt beloond)

• Bevindingen in content van klanten: code, secrets en bestanden in repository’s van tenants. Meld die rechtstreeks aan de tenant; dat is een incident aan klantzijde.
• Kwetsbaarheden in onze opensource-afhankelijkheden upstream (bijvoorbeeld een CVE in forgejo zelf). Meld die bij het meldprogramma van het upstreamproject. Zodra een CVE openbaar is, volgen en patchen we die wel.
• Problemen waarvoor fysieke toegang nodig is, social engineering van medewerkers van fremverk, of diensten van derden op hetzelfde netwerk als gebruikers van fremforge.
• Meldingen op basis van verouderde informatie (bijvoorbeeld een schermafbeelding van een oude beheerpagina van vóór een openbare migratie).
• Bevindingen over “best practices” zonder uitbuitbaar scenario (bijvoorbeeld “je zou header X moeten toevoegen”): nuttig, maar geen kwetsbaarheid.
• Meldingen over DDoS, brute force of het omzeilen van rate limits. Dat is afstemming van de infrastructuur, geen beveiligingsfout.

Hersteltermijn (SLA)

De klok begint te lopen bij onze ontvangstbevestiging.

De planning voor openbaarmaking kan in onderling overleg worden verlengd (bijvoorbeeld wanneer de fix een handeling van klanten vraagt die tijd kost).

Safe harbour

We stappen niet naar de civiele of strafrechter en dienen geen klachten in als je je onderzoek te goeder trouw uitvoert en je:

• geen gegevens die niet van jou zijn opent, wijzigt of verwijdert. Gebruik waar mogelijk testaccounts.
• de dienst voor andere gebruikers niet verslechtert: geen DoS, geen scans met hoog volume, geen geautomatiseerde brute force.
• niet meer gegevens buitmaakt dan nodig is om de impact aan te tonen. Een paar bytes is genoeg; we hebben de database niet nodig.
• het probleem privé meldt via security@frem.sh en ons een redelijke termijn geeft om het te verhelpen voordat je het openbaar maakt.
• je houdt aan de wetgeving die geldt in het rechtsgebied van waaruit je werkt.

Onderzoek dat te goeder trouw onder die voorwaarden wordt uitgevoerd, is toegestaan op grond van de Computer Misuse Act 1990 §17(5)(c) (VK), de uitzondering voor “research” in de Computer Fraud and Abuse Act 18 U.S.C. §1030(f) (waar van toepassing) en de equivalenten in de EU-lidstaten. Waar de lokale wetgeving uitdrukkelijke toestemming vereist, geldt deze pagina als die toestemming.

Bountyprogramma

We hebben op dit moment geen betaald bountyprogramma. We houden wel een openbare hall of fame bij voor onderzoekers die geverifieerde problemen melden en ermee instemmen dat hun naam wordt genoemd, en we sturen een bedankpakket van fremverk (T-shirt, speldje, stickerset) voor elke melding waarvoor we een fix uitbrengen.

We verwachten een betaald programma op te zetten zodra fremforge het aantal klanten bereikt waarbij dat voor beide kanten zinvol is; dat staat nu gepland voor de tweede helft van 2026.

Geschiedenis van openbaarmakingen

Wanneer we een fix uitbrengen voor een gemeld probleem, publiceren we een korte post-mortem op de statuspagina, met vermelding van de melder (als die daarmee instemt). Na de lancering komt op deze URL een apart overzicht van advisories.

Zie ook

• security.txt: de machineleesbare versie van deze pagina.
• Integriteit van de auditketen: relevante context voor meldingen in de trant van “niemand kan de auditlog opnieuw afspelen”.
• Doorsturen naar SIEM: relevante context voor meldingen in de trant van “de klant kan de gebeurtenis niet zien”.