Sicherheitslücke melden

Was dazugehört

Alles, was Melanite veröffentlicht:

• Das Melanite-Geräte-Image: Betriebssystem und Laufzeitumgebung für das Melanite Panel und andere Installationen auf dem Raspberry Pi CM5, samt Weboberfläche und APIs.
• Das Melanite-Docker-Image.
• Die Melanite-Companion-App.
• melanite.io: die Website, das Kundenportal und die API dahinter.

Noch ist nicht alles davon öffentlich erschienen. Wenn du einen Build von uns hast, gehört er dazu.

Was nicht dazugehört

• Dienste anderer Anbieter, etwa unseres Hosters, unseres CDN oder unseres Zahlungsanbieters. Bitte melde solche Lücken dort.
• Schwachstellen in Fremdkomponenten, die Melanite nicht betreffen. Betrifft eine davon Melanite, sag uns Bescheid: Wir beheben sie auf unserer Seite und geben sie an die Maintainer der Komponente weiter.
• Dass ein Geräte-Administrator eigenes HTML und JavaScript auf HMI-Seiten ausführen kann. Das ist die Funktion, kein Fehler. Ein Weg, auf dem jemand anderes Script einschleusen kann, gehört dagegen dazu.
• Das Umgehen der Lizenzprüfung auf einem Gerät, das du selbst kontrollierst. Die Lizenz ist keine Sicherheitsgrenze. Ein gültig signiertes Lizenz-Token zu fälschen, gehört dagegen dazu.
• Denial-of-Service- und Lasttests, Spam, Social Engineering sowie physische Angriffe auf Menschen oder Räumlichkeiten.
• Befunde ohne nachgewiesene Auswirkung, etwa reine Scanner-Ausgaben, fehlende Header oder Versionsangaben.

Sicher testen

Melanite steuert echte Maschinen. Wie du testest, zählt deshalb genauso wie das, was du findest.

• Teste nur auf Geräten, Containern und Konten, die dir gehören oder für die du eine ausdrückliche Erlaubnis hast. Nie auf der Anlage eines anderen.
• Teste nicht auf einer Installation, die Motoren, Heizungen oder anderes steuert, das Menschen verletzen oder Geräte beschädigen kann. Nimm dafür einen Testaufbau.
• Nutze auf melanite.io nur Konten, die du selbst angelegt hast. Greif nicht auf Daten anderer zu und ändere oder lösche sie nicht. Stößt du auf personenbezogene Daten, hör auf, behalte sie nicht und sag uns Bescheid.
• Kein Denial of Service und kein Durchprobieren von Passwörtern fremder Konten.

So meldest du eine Lücke

Schreib an security@melanite.io. Eine gute Meldung enthält:

• Was betroffen ist: Produkt und Version (Version des Geräte-Images, Docker-Tag, App-Version) oder die URL.
• Was ein Angreifer damit tun könnte und was er vorher braucht: Netzwerkzugang, ein Konto, physischen Zugriff.
• Wie sich die Lücke nachvollziehen lässt, gern mit einem Proof of Concept.
• Ob schon jemand anderes davon weiß, etwa weil sie öffentlich ist oder ausgenutzt wird.
• Ob und wie du genannt werden möchtest.

Einen PGP-Schlüssel haben wir noch nicht. Willst du Details nicht per unverschlüsselter E-Mail schicken, schreib uns zuerst kurz ohne sie, und wir vereinbaren einen sichereren Weg.

Bitte nutze für Sicherheitslücken nicht das Kontaktformular oder öffentliche Kanäle. Was du uns schickst, verwenden wir nur, um deine Meldung zu bearbeiten; mehr dazu in Abschnitt 6 der Datenschutzerklärung.

Wie es weitergeht

1. Innerhalb von 5 ArbeitstagenWir bestätigen, dass deine Meldung angekommen ist.
2. Innerhalb von 10 ArbeitstagenWir sagen dir, ob wir die Lücke nachvollziehen konnten, wie schwer wir sie einschätzen und was wir vorhaben.
3. Bis zur BehebungWir halten dich auf dem Laufenden, und du kannst jederzeit nach dem Stand fragen.
4. Mit dem FixWir veröffentlichen hier einen Sicherheitshinweis und nennen dich, wenn du das möchtest.

Auf Nachrichten, die nur eine Bezahlung verlangen oder nur Befunde enthalten, die nicht dazugehören, antworten wir nicht.

Arbeitstage sind Montag bis Freitag, außer an gesetzlichen Feiertagen in Rheinland-Pfalz, wo wir sitzen. Wir sind ein kleines Team: Das sind Ziele, an die wir uns halten, keine Garantien. Hörst du nicht rechtzeitig von uns, schreib noch einmal. Klappt auch das nicht, kannst du dich an CERT-Bund beim BSI wenden, die nationale Koordinierungsstelle für die Meldung von Schwachstellen.

Koordinierte Veröffentlichung

Bitte halte die Details vertraulich, bis ein Fix erschienen ist oder bis 90 Tage nach deiner Meldung, je nachdem, was zuerst eintritt. Danach entscheidest du, ob du veröffentlichst.

Braucht ein Fix länger, erklären wir dir, warum, und bitten um mehr Zeit. Das ist eine Bitte, keine Bedingung.

Melanite-Geräte laufen oft offline und installieren Updates, wenn ihre Besitzer es entscheiden. Ein Fix erreicht Maschinen deshalb langsamer als eine Änderung an einer Website. Aus diesem Grund bitten wir womöglich um einen kurzen Aufschub nach einem Release, ebenfalls als Bitte.

Wird eine Lücke aktiv ausgenutzt, können wir mit dir vereinbaren, früher zu veröffentlichen, damit sich Betroffene schützen können. Wo es passt, beantragen wir für den Sicherheitshinweis eine CVE-Kennung.

Safe Harbour

Handelst du in gutem Glauben und hältst dich an diese Richtlinie, gilt deine Forschung an unseren Systemen als von uns erlaubt. Wir gehen deswegen nicht rechtlich gegen dich vor und stellen weder Strafanzeige noch Strafantrag. Geht jemand anderes wegen Forschung gegen dich vor, die dieser Richtlinie folgt, stellen wir klar, dass du mit unserer Erlaubnis gehandelt hast.

Guter Glaube heißt:

• Du hältst dich an die Testregeln oben.
• Du nutzt eine Lücke nur so weit, wie es nötig ist, um sie nachzuweisen, und löschst erlangte Daten, sobald der Fall abgeschlossen ist.
• Du gibst uns die Zeit, die unter koordinierte Veröffentlichung beschrieben ist.
• Du stellst keine Forderungen. Geld dafür zu verlangen, dass du nicht veröffentlichst, ist kein guter Glaube.

Das gilt nur für unsere Systeme und unsere eigenen Rechte. Für andere können wir keine Erlaubnis erteilen, etwa für unsere Dienstleister oder für einen Kunden, auf dessen Maschine Melanite läuft. Unsicher, ob etwas darunter fällt? Frag uns vorher unter security@melanite.io.

Kein Bug-Bounty-Programm

Für Meldungen zahlen wir keine Prämien. Wenn du möchtest, danken wir dir öffentlich, im Sicherheitshinweis zu der Lücke, die du gefunden hast.

EU Cyber Resilience Act

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen in ihren Produkten zu melden. Diese Pflicht gilt seit dem 11. September 2026, und wir halten sie ein. Wird eine Lücke, die du meldest, aktiv ausgenutzt, melden wir sie über die einheitliche Meldeplattform der ENISA an CERT-Bund beim BSI, die für Deutschland benannte koordinierende Stelle, und an die ENISA, in den Fristen der Verordnung:

• eine Frühwarnung innerhalb von 24 Stunden, nachdem wir davon erfahren haben;
• eine Schwachstellenmeldung innerhalb von 72 Stunden;
• einen Abschlussbericht spätestens 14 Tage, nachdem ein Fix oder eine Abhilfe verfügbar ist.

Außerdem informieren wir betroffene Nutzer und sagen ihnen, was zu tun ist. Unsere Meldungen beschreiben die Schwachstelle; dich nennen sie nur, wenn du einverstanden bist.

Sicherheitshinweise

Bisher wurden keine Sicherheitshinweise veröffentlicht.