安全漏洞披露政策

本《安全漏洞披露政策》阐述了安全研究人员、客户及其他第三方如何报告疑似影响 Mondo Robotics 产品的安全漏洞。

漏洞应对

防范安全问题是我们的首要任务，我们欢迎任何具有安全背景的人士向我们报告潜在的安全漏洞，以提升我们产品和服务的安全性。

范围

本政策适用于 Mondo Robotics 的消费级联网产品，包括硬件、固件、软件及相关服务。

可报告的安全问题示例包括： - 身份验证或访问控制方面的缺陷； - 固件或软件漏洞； - 加密或数据保护方面的缺陷； - 远程访问或网络安全漏洞。

本政策不涵盖：垃圾邮件；社会工程学攻击；物理攻击；以及需要使用过时的第三方软件才能利用的漏洞。

漏洞响应与披露流程

1. 接收并确认

监控并及时确认已接收到的漏洞报告

2. 验证

验证该漏洞是否可重现，并确认其可利用性和影响

3. 制定解决方案

提供有效的解决方案或风险缓解措施

4. 确认范围

调查并确认受影响产品的范围

5. 发布安全公告

审核并发布针对该漏洞的安全公告（SA）

报告漏洞

如发现任何安全漏洞，请通过电子邮件报告至：support@mondorobotics.com

该电子邮件应至少包含以下信息，最好以附件形式按以下格式提供：

您的组织及联系方式（非必填）
受影响的产品和版本
潜在漏洞描述
关于已知漏洞的信息
信息披露计划

重要说明

尽管我们鼓励对潜在的安全漏洞进行调查，但我们绝不容忍任何可能干扰合法用户或违反相关计算机滥用、网络安全及数据保护法规的行为。因此，禁止以下行为：

数据的修改或销毁
服务中断或性能下降，例如拒绝服务（DoS）
个人、专有或财务信息的披露
访问超出证明该漏洞所需范围的数据
安装恶意软件
尝试社会工程学
针对设备的物理攻击
自动化大批量扫描

响应时间

您提交报告后，我们将在5个工作日内对您的报告作出回应，并力争在10个工作日内完成报告的分类处理。此外，我们将尽力及时向您通报处理进展。

（实际漏洞响应时间可能因漏洞的风险等级和复杂程度而有所不同）

漏洞披露指南

当外部方发现或对潜在漏洞表示担忧，但我们尚未完全确认该漏洞时，我们将通过电子邮件披露有关该漏洞的基本信息以及我们的调查情况。

在Mondo Robotics向公众发布正式安全公告之前，该漏洞信息应予以保密。Mondo Robotics将酌情与报告人协调披露时间安排。通常应在补救措施就绪后，或在已采取合理措施降低风险后，再进行公开披露。

在确认该漏洞已修复后，将发布新固件，并公布固件更新变更日志，其中将包含已修复漏洞的描述。

产品支持政策

我们致力于为产品提供持续的安全更新。这些安全更新通常包含最新的补丁、漏洞修复及其他安全改进。一般而言，我们将从产品发布之日起至少提供两年的安全更新支持。不过，不同产品的安全更新情况可能有所不同，因此请留意我们的公告。我们将定期在此页面发布并更新关于Mondo Robotics产品安全的相关信息，以帮助您查看设备的安全更新情况。