漏洞披露：共同维护我们的系统安全

如何报告漏洞

Cloudera 强烈鼓励客户和社区在公共论坛上披露安全漏洞之前向我们的安全响应团队报告安全漏洞。

• 如果您不是 Cloudera 的现有客户，请发送电子邮件至security@cloudera.com报告漏洞。
  

• 如果您是 Cloudera 客户，请通过我们的客户支持门户创建支持案例。请务必提供您所使用的软件版本信息以及该软件运行的硬件配置。对于在 www.cloudera.com 或附属网站上发现的任何漏洞，请包括可重现该漏洞的站点/页面的完整网址。

请避免向我们发送关于以下漏洞的报告：

• 自动扫描程序报告的常规低严重性问题

  • 缺少安全标头（例如HSTS、CSP、SPF、DMARC）

  • Cookie 缺少标志

  • SSL 问题（弱加密算法/密钥大小）

  • 跨站请求伪造（CSRF）在未经过身份验证的表单或没有安全影响的表单上

  • 点击劫持

  • 其他由自动扫描工具报告的一般低严重性问题

• 速率限制（除非它构成重大风险）

• 需要中间人攻击 (MITM) 或物理访问用户设备的攻击

• 此前已知存在漏洞的库，但目前没有可用的概念验证（PoC）

• 仅影响使用过时或未打补丁浏览器的用户 [落后于最新发布的稳定版本不超过 2 个版本]

• 软件版本披露/横幅识别问题

为了安全地向 Cloudera 提交您的报告，请使用下面的 GPG 密钥。

GPG 公钥块

复制并粘贴以下密钥：