Éditeur & conseil
Avis de sécurité de Feranor PQC Suite
Quand une vulnérabilité de Feranor PQC Suite est corrigée, nous publions ici un avis, avec les versions concernées, l'impact, la sévérité et la façon d'y remédier. Les clients le reçoivent d'abord, par e-mail, avec les mesures possibles avant la mise à jour.
Les correctifs de sécurité sont gratuits pour tout utilisateur d'une version maintenue, pendant 5 ans à compter de la première publication de chaque version majeure à partir de la 1.0. Avant la 1.0, la dernière version est celle qui est maintenue, et le passage à la 1.0 est gratuit.
Avis
Aucun avis n'a été publié à ce jour.
Signaler une vulnérabilité
Écrivez à security@feranor.com, chiffré si vous le souhaitez avec notre clé OpenPGP, plutôt que par le support ou un canal public. Indiquez le produit et sa version, l'impact tel que vous le comprenez, et ce qui le reproduit.
Nous convenons avec vous d'une date de divulgation, et vous citons dans l'avis sauf si vous préférez le contraire. Notre security.txt donne les mêmes contacts.
Ce qui se passe ensuite
- 2 jours ouvrés pour accuser réception de votre signalement
- 5 jours ouvrés pour une première évaluation, confirmée ou non, avec sa sévérité CVSS
- 30 jours pour corriger une vulnérabilité critique ou élevée
- 90 jours au plus pour une vulnérabilité moyenne ou faible, dans la version suivante
Un identifiant CVE est demandé quand des versions publiées sont concernées. Chaque version contient des nomenclatures logicielles CycloneDX, pour confronter ses composants aux vulnérabilités publiées.
Cyber Resilience Act
Feranor traite les vulnérabilités de son produit comme le Cyber Resilience Act l'exige des fabricants (règlement (UE) 2024/2847). Une vulnérabilité activement exploitée, ou un incident grave touchant la sécurité du produit, est notifié par la plateforme unique de signalement de l'ENISA au CERT-FR et à l'ENISA, avec une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final. Les utilisateurs sont ensuite informés des mesures qu'ils peuvent prendre, dans le format lisible par machine ci-dessous.
Avis lisibles par machine
Chaque avis est aussi publié en document CSAF 2.0 (OASIS Common Security Advisory Framework), que vos outils peuvent récupérer et rapprocher de votre inventaire. Feranor est fournisseur CSAF. Ses métadonnées de fournisseur désignent la distribution, dont index.txt et changes.csv listent chaque document, chacun avec son SHA-256 et son SHA-512.
Le security.txt du site pointe vers ces métadonnées, pour que les agrégateurs les trouvent d'eux-mêmes.