KeenAuth セキュリティアドバイザリ

当社が修正した脆弱性が重大な損害を引き起こすおそれがある場合、またはお客様や第三者が対応やリスク評価を行う必要がある場合に、セキュリティアドバイザリを公開します。アドバイザリは修正の提供後、脆弱性開示ポリシーに定める期間内に公開されます。

アドバイザリの内容

ASA-YYYY-NNNN 形式の識別子。
説明、影響、およびお客様に必要な対応。
影響を受ける範囲: ホスティングプラットフォームの場合は UTC の時間帯とリージョン、SDK とツールの場合はパッケージ名、影響を受けるバージョン範囲、修正済みバージョン。
CVSS v4.0 ベクトルと修正日。
問題を報告してくださった方への謝辞。

CVE 識別子

オープンソースのクライアントパッケージ（SDK、CLI、MCP サーバー、OpenTofu プロバイダー）の脆弱性には、GitHub のセキュリティアドバイザリを通じて CVE 識別子が割り当てられます。ホスティングプラットフォームの問題は ASA- 識別子で公開されます。

ソフトウェア部品表（SBOM）と VEX

SDK、CLI、MCP サーバー、OpenTofu プロバイダーの各リリースには、CycloneDX のソフトウェア部品表（SBOM）、署名、およびビルドの来歴証明が付属します。コンポーネントの既知の脆弱性が当社製品に影響しない場合は、アドバイザリとともに公開する OpenVEX 文書でその旨を明記します。

セキュリティサポート

各製品ラインには少なくとも 5 年間セキュリティアップデートを提供します。修正は最新のメジャーバージョンでリリースされ、アップグレードは無料です。1 つ前のメジャーバージョンには 12 か月間セキュリティ修正を提供します。各セキュリティアップデートは少なくとも 10 年間、またはサポート期間の残りがそれより長い場合はその期間、入手可能な状態に保たれます。

脆弱性の報告

[email protected] までメールでお知らせいただくか、脆弱性開示ポリシーをお読みください。この窓口は常に開いています。

Atom フィード · 機械可読インデックス（JSON）

アドバイザリは英語で公開され、英語版が正本です。