Melden einer Schwachstelle (Coordinated Vulnerability Disclosure, CVD)

Haben Sie eine Schwachstelle in einem IT-System oder in kommerziell erhältlichen Anwendungen, Software oder Hardware entdeckt und möchten diese melden? Es gibt verschiedene Möglichkeiten, eine Schwachstelle zu melden.

Schwachstellen in den Systemen des Bundes

Wenn die Schwachstelle ein IT-System, eine Anwendung oder Hardware der Bundesverwaltung betrifft, können Sie diese dem BACS mit dem untenstehenden Formular melden. Bitte beachten Sie unsere allgemeine CVD-Richtlinie.

Allgemeine Schwachstellen

Wenn Sie eine Schwachstelle in einem IT-System oder -Produkt gefunden haben, das nicht zur Bundesverwaltung gehört, aber einen Bezug zur Schweiz hat, ist die Schwachstelle immer zuerst dem Systemeigner oder dem Produktlieferanten zu melden. Melden Sie Ihre Feststellungen nur dann dem BACS, wenn Sie keine Kontaktperson ausfindig machen können oder wenn die betroffene Partei keine angemessene Rückmeldung auf die Schwachstelle liefert.
In diesem Fall wird das BACS als Vermittler agieren und die betroffene Organisation erneut auf die Schwachstelle aufmerksam machen, damit die Schwachstelle behoben wird.

Veröffentlichung von Schwachstellen (CVE)

Wenn Sie eine Schwachstelle in von Schweizer Unternehmen benutzten Anwendungen, Software oder Hardware gefunden haben, kann das BACS – in seiner Rolle als CVE-Fachstelle (CNA) – die Veröffentlichung der entsprechenden CVE koordinieren.

Wichtiger Hinweis zu den Anforderungen für einen CVE:

Um eine effiziente Bearbeitung Ihres CVE-Antrags zu gewährleisten, stellen Sie sicher, dass eine öffentliche Referenz publiziert ist oder dass Sie oder der Hersteller die Publikation einer solchen gemäss den Anforderungen von MITRE planen. Dieser öffentliche Verweis muss mindestens

die Schwachstelle erwähnen (mindestens die CVE-Nummer + die betroffenen Versionen)
über das Internet öffentlich zugänglich sein und keine Registrierung oder Anmeldung erfordern

Gemäss dem Bundesgesetz über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG) kann das NCSC Informationen zu Schwachstellen unter Angabe der betroffenen Hard- oder Software veröffentlichen, sofern die Herstellerin einwilligt oder die Schwachstelle nicht innert der Frist nach Artikel 73b Absatz 3 behoben hat. Diese Informationen könnten allenfalls auch als öffentliche Referenz verwendet werden.

Um den CVE-Prozess zu beschleunigen, erstellen Sie bitte einen CVE-Entwurf in «Vulnogram», exportieren Sie ihn als JSON und fügen Sie die resultierende JSON-Datei in Ihren Antrag ein.

Wenn die gemeldete Sicherheitslücke einen Cloud-Dienst betrifft, stellen Sie vorgängig sicher, dass sie die Anforderung 7.4.4 der Zuweisungsregeln erfüllt: «The vulnerability requires customer or peer action to resolve».

So reichen Sie eine CVD-Meldung bei uns ein:

Füllen Sie das untenstehende Formular mit allen zur Verfügung stehenden Details zur Schwachstelle aus. Bitte fügen Sie Ihren öffentlichen PGP-Schlüssel hinzu, damit das BACS einen zeitnahen und sicheren Informationsaustausch mit Ihnen gewährleisten kann.
Für Schwachstellen, die nicht die Bundesverwaltung betreffen, bestätigen Sie, dass Sie vorgängig versucht haben, mit den betroffenen Parteien in Kontakt zu treten. Dokumentieren Sie die Kontaktversuche in den entsprechenden Feldern.
Geben Sie an, ob Ihre Anfrage eine CVE-Veröffentlichung betrifft. Falls ja, fügen den CVE-Entwurf bei und teilen Sie uns mit, ob die Veröffentlichung einer Referenz bereits erfolgt oder geplant ist (siehe «Wichtiger Hinweis zu den Anforderungen für einen CVE» weiter oben).
Stellen Sie dem BACS so viele Informationen wie möglich zur Verfügung, damit die Schwachstelle reproduziert oder zumindest die Gültigkeit anhand Ihres Berichts bewertet werden kann.
Bei Rückfragen setzt sich das BACS direkt mit Ihnen in Verbindung. Bitte teilen Sie uns deshalb mindestens eine E-Mail-Adresse mit (Sie können bei Bedarf weiterhin anonym mit uns kommunizieren).
Für eine verschlüsselte Kommunikation verwenden Sie den PGP-Schlüssel von vulnerability [at] ncsc.ch.

PGP NCSC Vulnerability (ASC, 3 kB, 31.08.2021)E-Mail: vulnerability at ncsc.ch
Key ID: 0xBCBB3E225F16898A
Fingerprint: F25A B97C 779A 0C6A 0DE0 F356 BCBB 3E22 5F16 898A

SMIME NCSC Vulnerability (CER, 1 kB, 06.10.2022)E-Mail: vulnerability at ncsc.ch
Fingerprint: bc4563dc1e37b759cd83ffa72a0d4bed468340c2

Melden von Schwachstellen

Zusammenfassung /Stichwort

*

Kurze Beschreibung der Schwachstelle (max. 250 Zeichen).

Beschreibung

*

Beschreiben Sie Ihre Entdeckung so detailliert wie möglich, um uns zu ermöglichen, das Problem zu reproduzieren.

Auswirkungen

Beschreiben Sie die Auswirkung Ihrer Entdeckung. Was ist betroffen?

Lösungsansatz / Mitigation

Wenn vorhanden, kann hier ein Lösungsansatz beschrieben werden.

Datei Upload

Verwenden Sie für die Dokumentation ASCII Text- (z.B. Markdown), pdf- oder png-Dateien.

Rahmenbedingungen und Regeln

Ich akzeptiere

*

die Rahmenbedingungen und Regeln.

Ich bestätige,

*

dass ich vorgängig versucht habe, mit den betroffenen Parteien in Kontakt zu treten, wenn meine Anfrage mit einer CVE-Veröffentlichung zusammenhängt oder wenn meine Meldung ein IT-System oder -Produkt gefunden betrifft, das nicht zur Bundesverwaltung gehört*

Bisherige Kontaktversuche:

Bitte dokumentieren Sie Ihre Versuche, die betroffenen Parteien zu kontaktieren. Teilen Sie uns mit, wer über welche Kanäle kontaktiert wurde, wann der Kontaktversuch stattfand und wie die Antwort lautete.

Persönliche Informationen (optional)

Sie können hier Ihre persönlichen Informationen angeben. Dies ermöglicht uns mit Ihnen in Kontakt zu treten, falls wir zu Ihrer Anmerkung noch Fragen haben.

Name

Vorname

Email

PGP-Schlüssel

Hier können Sie Ihren öffentlichen PGP-Schlüssel anhängen. Hinweis: Nutzen Sie für die PGP-Schlüsseldatei die Endung .pgp.

Telefonnummer