Avvisi di sicurezza KeenAuth

Pubblichiamo un avviso di sicurezza quando una vulnerabilità che abbiamo corretto potrebbe causare un danno grave, oppure quando clienti o terze parti devono intervenire o valutare il proprio rischio. L'avviso viene pubblicato dopo che la correzione è disponibile, entro i tempi della nostra politica di divulgazione delle vulnerabilità.

Contenuto di un avviso

• Un identificativo nel formato ASA-YYYY-NNNN.
• Una descrizione, l'impatto e l'azione richiesta ai clienti.
• La superficie interessata: per la piattaforma ospitata, la finestra temporale in UTC e le regioni; per SDK e strumenti, il nome del pacchetto, l'intervallo di versioni interessate e la versione corretta.
• Un vettore CVSS v4.0 e la data della correzione.
• I ringraziamenti alle persone che hanno segnalato il problema.

Identificativi CVE

Le vulnerabilità nei nostri pacchetti client open source (SDK, CLI, server MCP e provider OpenTofu) ricevono identificativi CVE tramite gli avvisi di sicurezza di GitHub. I problemi della piattaforma ospitata vengono pubblicati con un identificativo ASA-.

Iscriversi

Seguite il feed Atom https://trust.keenauth.com/advisories.atom con qualsiasi lettore di feed. Un indice leggibile dalle macchine è disponibile all'indirizzo https://trust.keenauth.com/advisories/index.json.

Distinta base del software e VEX

Ogni versione di un SDK, della CLI, del server MCP e del provider OpenTofu è accompagnata da una distinta base del software (SBOM) CycloneDX, da una firma e da un'attestazione di provenienza della build. Quando una vulnerabilità nota di un componente non riguarda il nostro prodotto, lo dichiariamo in un documento OpenVEX pubblicato con l'avviso.

Supporto di sicurezza

Ogni linea di prodotti riceve aggiornamenti di sicurezza per almeno cinque anni. Le correzioni vengono rilasciate nell'ultima versione principale e l'aggiornamento è gratuito. La versione principale precedente riceve correzioni di sicurezza per 12 mesi. Ogni aggiornamento di sicurezza resta disponibile per almeno dieci anni, oppure per il resto del periodo di supporto se più lungo.

Segnalare una vulnerabilità

Scrivete a [email protected] oppure leggete la nostra politica di divulgazione delle vulnerabilità. Questo canale è sempre aperto.

Feed Atom · Indice leggibile dalle macchine (JSON)

Gli avvisi sono pubblicati in inglese, che è la lingua vincolante.

Non è ancora stato pubblicato alcun avviso di sicurezza.