Bezpieczeństwo / Security (VDP)

Zgłaszanie podatności bezpieczeństwa

Platan sp. z o.o. sp.k. traktuje bezpieczeństwo swoich produktów poważnie i docenia zaangażowanie badaczy bezpieczeństwa, którzy odpowiedzialnie zgłaszają znalezione podatności. 

Polityka obejmuje produkty Platan z elementami cyfrowymi (centrale i serwery PBX, telefony IP, bramy VoIP oraz systemy audio dla kolei). Niniejsza strona opisuje zasady skoordynowanego ujawniania podatności (CVD).

Jak zgłosić podatność

Zgłoszenie prosimy przesłać na adres: security@platan.pl (alias: psirt@platan.pl). Dla zgłoszeń poufnych zalecamy szyfrowanie kluczem PGP:

• Fingerprint klucza: B462 4A51 1A89 26F1 E2D6  3B6D A87D 76C9 C788 4A6D
• Pełny klucz publiczny: https://www.platan.pl/pgp-key.asc

Co powinno zawierać zgłoszenie

• nazwę dotkniętego produktu/komponentu lub adres URL usługi oraz wersję oprogramowania/firmware,
• opis podatności z krokami odtworzenia, zrzutami ekranu i kodem PoC, jeśli to możliwe,
• szacowaną ocenę wpływu oraz — jeśli to możliwe — wstępną punktację CVSS,
• dane kontaktowe zgłaszającego oraz preferencje dotyczące uznania (credit).

Nasze zobowiązania (safe harbor)

Nie podejmujemy działań prawnych wobec badaczy działających w dobrej wierze i zgodnie z niniejszą polityką, pod warunkiem że nie naruszają prywatności innych osób, nie degradują naszych usług oraz nie uzyskują dostępu do danych innych użytkowników. Każde zgłoszenie zostanie potwierdzone. Prosimy o poufność do czasu udostępnienia poprawki i o uzgodnienie terminu publikacji.

Czego nie robić

Niedozwolone są: ataki DoS/DDoS, brute-force, socjotechnika (phishing), modyfikacja/niszczenie danych, instalacja złośliwego oprogramowania oraz dostęp do kont/danych innych użytkowników. W szczególności zabronione są testy na centralach i urządzeniach w eksploatacji oraz na czynnych łączach VoIP klientów.

Czasy reakcji

Kontakt

• E-mail: security@platan.pl / psirt@platan.pl
• Klucz PGP (fingerprint): B462 4A51 1A89 26F1 E2D6  3B6D A87D 76C9 C788 4A6D
• Pojedynczy punkt kontaktowy: BBiR (Biuro Badań i Rozwoju) Platan sp. z o.o. sp.k.
   

-------------

Reporting a security vulnerability 

Platan sp. z o.o. sp.k. takes the security of its products seriously and values the efforts of security researchers who responsibly disclose vulnerabilities. 

This policy covers Platan products with digital elements (PBX servers, IP phones, VoIP gateways and railway audio systems). This page describes our Coordinated Vulnerability Disclosure (CVD) policy.

How to report

Please send your report to: security@platan.pl (alias: psirt@platan.pl). For confidential reports, encrypt with our PGP key:

• Key fingerprint: B462 4A51 1A89 26F1 E2D6  3B6D A87D 76C9 C788 4A6D
• Full public key: https://www.platan.pl/pgp-key.asc

What to include

• the affected product/component name or service URL, and software/firmware version,
• a description with steps to reproduce, screenshots and PoC code if possible,
• an estimated impact assessment and, if possible, a preliminary CVSS score,
• your contact details and any preference regarding credit.

Safe harbor

We will not pursue legal action against researchers acting in good faith and in line with this policy, provided they do not violate the privacy of others, do not degrade our services, and do not access other users’ data. Every report will be acknowledged. Please keep details confidential until a fix is available and agree a disclosure date with us.

What not to do

Not permitted: DoS/DDoS, brute-force, social engineering (phishing), modifying or destroying data, installing malware, and accessing other users’ accounts or data. In particular, testing on in-service PBX systems, devices and live customer VoIP links is strictly prohibited.

Response times

Contact

• Email: security@platan.pl / psirt@platan.pl
• PGP key (fingerprint): B462 4A51 1A89 26F1 E2D6  3B6D A87D 76C9 C788 4A6D
• Single point of contact: R&D (Research&Development) department Platan sp. z o.o. sp.k.