Sicurezza dei prodotti

Soltea sviluppa, distribuisce e mantiene software per i propri clienti. Gestiamo le vulnerabilità dei nostri prodotti secondo il Regolamento (UE) 2024/2847 sulla ciberresilienza (Cyber Resilience Act): controlliamo ogni giorno i componenti software, correggiamo i problemi senza ritardo e pubblichiamo le correzioni nelle note di rilascio dei prodotti.

Questa pagina riguarda in particolare i prodotti Sambha2 e DieFeed (app Android DieFeedApp e applicazione web DieFeedWeb). Le segnalazioni su altri software o servizi di Soltea, compreso questo sito, sono comunque benvenute.

Scrivi a security@soltea.it, in italiano o in inglese. Per aiutarci a capire e riprodurre il problema, indica se puoi:

• il prodotto e la versione interessati;
• una descrizione del problema e del suo possibile impatto;
• i passi per riprodurlo, ed eventualmente una prova di concetto;
• come possiamo ricontattarti e se desideri essere citato nei riconoscimenti.

Non inviare dati personali di terzi né dati dei nostri clienti: se ne hai ottenuti durante la ricerca, descrivi il tipo di dato senza allegarlo.

• Confermiamo la ricezione della segnalazione entro 5 giorni lavorativi.
• Valutiamo il problema e ti teniamo informato sull’esito e sui tempi previsti per la correzione.
• Correggiamo le vulnerabilità con una priorità proporzionata alla gravità e rilasciamo gli aggiornamenti di sicurezza gratuitamente.
• A correzione disponibile, la descriviamo nelle note di sicurezza del rilascio e, se lo desideri, ti citiamo come autore della segnalazione.
• Se una vulnerabilità risulta sfruttata attivamente, la notifichiamo alle autorità competenti (CSIRT Italia ed ENISA) come previsto dal Cyber Resilience Act e informiamo gli utenti interessati sulle misure da adottare.

Ti chiediamo di non rendere pubblici i dettagli della vulnerabilità finché non è disponibile una correzione, o fino a una data concordata con noi. Di norma chiediamo fino a 90 giorni dalla segnalazione; il termine si accorcia se la vulnerabilità diventa pubblica o risulta sfruttata.

Consideriamo condotta in buona fede, e non intraprenderemo azioni legali nei confronti di chi la rispetta, una ricerca che:

• si svolge su installazioni o account propri, o su sistemi per cui si ha l’autorizzazione, e non sui sistemi di produzione dei nostri clienti;
• non accede, modifica o cancella dati altrui oltre lo stretto necessario a dimostrare il problema;
• non degrada né interrompe i servizi (niente test di negazione del servizio) e non usa ingegneria sociale, phishing o accessi fisici;
• ci segnala il problema senza ritardo e cancella i dati eventualmente ottenuti.

Non consideriamo vulnerabilità, salvo un impatto concreto dimostrato: risultati di scansioni automatiche non verificati, intestazioni HTTP mancanti, configurazione di SPF/DKIM/DMARC, clickjacking su pagine senza azioni sensibili, attacchi di negazione del servizio.

Al momento non offriamo ricompense in denaro.

Le vulnerabilità corrette sono descritte nella sezione «Note di sicurezza» delle note di rilascio di ciascun prodotto: per ogni rilascio indicano le vulnerabilità corrette (CVE o descrizione), il componente aggiornato, la gravità e la versione da installare. Le versioni precedenti a un rilascio con correzioni di sicurezza sono da considerare potenzialmente colpite. Le vulnerabilità non ancora corrette non vengono pubblicate.

• DieFeedWeb: note di rilascio di DieFeedWeb (in inglese), sezione «Security fixes» di ciascun rilascio.
• DieFeedApp: sezione «Novità» della scheda dell’app su Google Play; i dettagli sono nelle note di rilascio di DieFeedWeb.
• Sambha2: file CHANGELOG incluso nel pacchetto di installazione, inviato anche ai clienti che lo hanno installato.

Ringraziamo chi ci aiuta a rendere più sicuri i nostri prodotti segnalando le vulnerabilità in modo responsabile. Gli autori che lo desiderano sono citati nelle note di sicurezza del rilascio che contiene la correzione.

I nostri contatti per la sicurezza sono pubblicati anche nel file security.txt, secondo lo standard RFC 9116, su questo sito e sui siti dei nostri prodotti.