Keenetic Product Security Advisory

Емітент та сфера застосування: Органом, що видає цю Політику, є Keenetic GmbH, Berliner Straße 300b, 63067 Оффенбах-на-Майні, Німеччина. Ця Політика встановлена як стандартна керівна Політика для всіх юридичних осіб Keenetic у всьому світі.

Як дослідник безпеки або доповідач про вразливості, ваша робота є життєво важливою для зміцнення безпеки цифрових продуктів та інфраструктур. Ми створили цю політику Скоординованого розкриття вразливостей (“CVD”), щоб забезпечити, що ваші знахідки буде розглянуто з повагою, оброблено відповідально та що на них швидко відреагують. Вона визначає, як Keenetic (далі “Keenetic GmbH”, “ми”, “нас”) реагуватиме на ваші звіти, які гарантії ви можете очікувати та які кроки ведуть до успішного процесу розкриття.

Крім того, ми хочемо переконатися, що ваш внесок буде оцінено. Ми заохочуємо вас брати участь у програмі винагород за виявлення вразливостей Keenetic, яка пропонує фінансові винагороди для вираження нашої вдячності та заохочення подальшої співпраці.

Беручи участь у цьому процесі, ви не лише допомагаєте захищати користувачів та організації, а й приєднуєтеся до спільноти, де ваш досвід визнається та винагороджується. Разом ми можемо зробити продукти Keenetic безпечнішими, зміцнити довіру та створити сильнішу цифрову екосистему.

Ⅰ. Сфера дії політики CVD – що ми вважаємо дійсною вразливістю

Дійсна вразливість у контексті цієї політики розуміється як слабкість, недолік або проблема безпеки, що безпосередньо впливає на один із продуктів або інфраструктуру Keenetic та яку можна використати.

Щоб звіт вважався дійсним, розкрита інформація не повинна бути вже загальновідомою, що гарантує, що звіт надає нові та дієві знання для процесу безпеки. Крім того, звіти, створені виключно автоматизованими інструментами або скануваннями без достатньої підтверджувальної документації, не вважаються адекватними, оскільки вони не мають необхідних доказів для проведення значущого аналізу та усунення дійсної вразливості. Кожен звіт в ідеалі повинен містити допоміжні деталі. Це допомагає нам зосередитися на реальних проблемах і реагувати швидше.

Ⅱ. Як повідомити про вразливість

Коли ви виявляєте дійсну вразливість, надішліть звіт, використовуючи наступні канали.

Електронна пошта: Ви можете надіслати нам листа на адресу security@keenetic.com, щоб забезпечити належну координацію та відстеження.

Вебформа: Ми надаємо безпечну вебформу для подання на нашій сторінці інофрмації про розкриття вразливостей: https://keenetic.com/security/anonymous-reporting-form. Ця форма підтримує анонімне повідомлення. Вам не потрібно надавати жодної особистої інформації для подання звіту; однак, майте на увазі, що якщо ви повідомляєте анонімно, ми не зможемо поставити вам додаткові запитання, що може обмежити нашу здатність розслідувати проблему. Вебформа доступна англійською мовою, і вона допоможе вам включити ключові деталі, які нам потрібні.

Security.txt: Ми підтримуємо файл keenetic.com/security.txt на нашому вебсайті, в якому перелічені наші контакти для розкриття вразливостей та уподобання. Доповідачі можуть звертатися до цього файлу для отримання актуальної інформації про те, як з нами зв'язатися.

При поданні звіту, будь ласка, надайте якомога більше технічних деталей. Це допоможе нам швидше класифікувати та виправити проблему. Ми пропонуємо надати:

• A опис вразливості та її потенційного впливу. Чого може досягти зловмисник? Які аспекти конфіденційності/цілісності/доступності знаходяться під загрозою? Яка система може бути уражена в ІТ-інфраструктурі Keenetic (наприклад, корпоративні системи Keenetic, операційна система, застосунок, система віддаленого моніторингу та керування, хмара та обліковий запис Keenetic)?

• Конкретні назви продуктів, версії та конфігурації, які є вразливими. (Для вебсайтів або служб вказуйте URL-адреси або IP-адреси; для апаратного або програмного забезпечення вказуйте номери моделей або версій.)

• Кроки для відтворення проблеми – наприклад, які команди, введення або дії викликають уразливість. Скриншот або код для підтвердження концепції (PoC) є дуже корисними.

• Якщо відомі будь-які пропоновані виправлення або посилання на виправлення (необов'язково, але вітається).

• Ваша контактна інформація (ім'я або псевдонім, і безпечний спосіб зв'язку з вами) якщо ви бажаєте отримати відповідь. Ви можете повідомити анонімно, але тоді ми не зможемо зв'язатися з вами для уточнення або надання оновлень статусу.

Добровільна інформація: Доповідач може добровільно надати контактну інформацію для координації, але не зобов'язаний надавати особисту ідентифікаційну інформацію. Ви можете використовувати нашу анонімну форму звітування на вебсайті.

Ⅲ. Що ми очікуємо від вас – Кодекс поведінки

Ми винагороджуємо доповідачів та визнаємо їхні досягнення за цією політикою CVD лише за умови дотримання високих стандартів доброчесності та відповідальної поведінки при виявленні та повідомленні про вразливості. Тому ми не толеруємо наступну поведінку:

• Добросовісне тестування: Доповідачі повинні проводити лише тестування, яке не порушує роботу та є необхідним для підтвердження існування вразливості (підтвердження концепції). Вони не повинні навмисно компрометувати дані користувачів, порушувати роботу служб або пошкоджувати системи.

• Заборона експлуатації поза межами тестування: Активна експлуатація вразливості поза межами початкового тестування для підтвердження концепції суворо заборонена. Зокрема, не зловживайте вразливістю для компрометації даних, зміни конфігурацій, переходу на інші системи або постійного доступу до наших систем. Достатньо викликати проблему, щоб довести її існування – наприклад, не завантажуйте більше даних, ніж необхідно для демонстрації недоліку. Якщо ви натрапите на конфіденційну інформацію (наприклад, особисті дані користувачів, службові матеріали), негайно припиніть тестування та повідомте нам про це, і не розголошуйте та не зберігайте цю інформацію.

• Заборона соціальної інженерії або фізичних атак: Не використовуйте методи соціальної інженерії (фішингові листи, телефонні дзвінки під приводом тощо) проти наших співробітників або систем, і не проводьте жодних тестів фізичної безпеки (наприклад, спроби проникнення в наші офіси або центри обробки даних). Ця політика обмежується технічними вразливостями в наших продуктах та інфраструктурі та виключає вектори соціальних та фізичних атак.

• Заборона атак на відмову в обслуговуванні або “атак грубою силою”: Утримуйтеся від проведення атак типу DoS/DDoS або будь-якого тестування, яке може погіршити доступність наших послуг для користувачів, а також “атак грубою силою”. Ми хочемо уникнути будь-яких перебоїв у роботі для наших клієнтів.

• Заборона сторонніх або публічних атак: Не націлюйтеся на вразливості в сторонніх службах або продуктах, які ми використовуємо (замість цього, будь ласка, повідомте цих постачальників безпосередньо). Аналогічно, не тестуйте системи, якими ми не володіємо або не керуємо. Якщо ви випадково отримали доступ до даних або систем інших сторін під час вашого дослідження, повідомте нас і припиніть подальші дії. Не компрометуйте та не маніпулюйте даними будь-якої третьої сторони під час вашого дослідження.

• Конфіденційність та використання інформації: Доповідачі повинні зберігати деталі вразливості конфіденційними та не розголошувати публічно, не продавати та не поширювати в інший спосіб код експлойту або технічні деталі, які б дозволили експлуатацію, доки Keenetic не надасть публічне повідомлення або іншим чином не дозволить розкриття. Це не обмежує доповідача в повідомленні компетентних органів, національного CSIRT або правоохоронних органів, де це вимагається законом або де негайне розкриття є необхідним для запобігання неминучій шкоді.

• Період виправлення: Компанії Keenetic надається розумний період для виправлення, який залежить від серйозності, для розслідування, усунення та розповсюдження оновлень безпеки. Якщо Keenetic не усуне вразливість або не надасть надійного пом'якшувального заходу протягом розумного періоду, доповідач може повідомити національний CSIRT або компетентний орган.

Якщо доповідач ненавмисно порушить частину цього кодексу поведінки, ми зобов'язуємося все одно добросовісно обробити будь-яку виявлену вразливість, наскільки це в наших силах; однак такий доповідач може не отримати жодної винагороди.

Ⅳ. Наші зобов'язання перед вами при повідомленні про вразливість

Усі вхідні звіти розглядаються з максимальною ретельністю. Тому при повідомленні про вразливість ви повинні надати принаймні один дійсний контактний варіант. Звичайно, ви можете повідомити про вразливість анонімно.

1. Відповідь

Після того, як ви надішлете нам звіт про вразливість, ми повідомимо вас, що отримали ваш звіт. Це буде особиста відповідь від нашої команди безпеки. Якщо нам знадобляться уточнення або додаткова інформація, ми запитаємо якомога швидше. Майте на увазі, що на анонімні подання ми, очевидно, не можемо відповісти, але ми продовжимо розслідування. Для передачі конфіденційної інформації нам потрібно, щоб ви надали принаймні свою електронну пошту, щоб мати можливість використовувати наш ключ шифрування PGP, доступний за посиланням https://keenetic.com/uk/security/keenetic-security-pgp-public-key.asc

Після подальшого аналізу звіту ми надамо вам зворотний зв'язок щодо того, чи підтверджуємо ми, чи відхиляємо повідомлену вразливість, змістовні запити для розуміння повідомленої вразливості або пояснення, чому розслідування повідомленої вразливості займає більше часу, ніж очікувалося.

2. Конфіденційне спілкування

Ми гарантуємо, наскільки це дозволено законом, що кожен вхідний звіт про вразливість розглядається конфіденційно, і ваші особисті дані не будуть розголошені третім особам без вашої явної згоди.

Інформація, необхідна для публічного розкриття підтвердженої та перевіреної вразливості, розкривається публічно тою мірою, якою ми зобов'язані за законом.

3. Анонімне повідомлення (необов'язково)

Ви можете використовувати нашу анонімну форму звітування на вебсайті.

Оскільки ми поважаємо ваше бажання залишатися анонімним, будь ласка, майте на увазі, що анонімні звіти можуть бути оброблені лише в обмеженому обсязі або, можливо, зовсім не оброблені через відсутність можливості запитувати технічні або змістовні уточнення, особливо у випадку складних проблем.

4. Поважне та відкрите спілкування

Все спілкування буде залишатися професійним, і ми будемо ставитися до вас з повагою. Ми очікуємо такої ж ввічливості у відповідь – у нас нульова толерантність до будь-якої дискримінації, домагань або неповаги у спілкуванні з будь-якої сторони.

Наша команда безпеки може зв'язатися з вами з питаннями, щоб краще зрозуміти проблему або запросити відтворювані технічні артефакти та інструкції, щоб уразливість можна було відтворити та виправити. Ми заохочуємо вас запитувати про оновлення в будь-який час; ми вважаємо наступні запити бажаними та ознакою вашого інтересу, а не роздратуванням.

Ⅴ. Координація та завершення розкриття інформації

Підтверджені та перевірені вразливості публічно розкриваються компанією Keenetic. Публічне повідомлення містить:

• Опис вразливості.

• Інформацію, що дозволяє користувачам визначати уражені продукти/версії.

• Вплив та серйозність.

• Чіткі інструкції щодо застосування коригувальних заходів або виправлення.

Процес координованого розкриття вразливості вважається завершеним, якщо цю вразливість було усунено або виправлено за допомогою відповідних заходів і було оприлюднено інформацію про те, що ознаки у звіті про вразливість є необґрунтованими, і, отже, звіт може бути опрацьований лише в обмеженому обсязі або не опрацьований взагалі.

Ми вважаємо процес CVD завершеним, коли відбувається одна з наступних подій:

• було впроваджено виправлення або пом'якшення наслідків та опубліковано публічне повідомлення; або

• повідомлену проблему було визначено як невразливість (хибнопозитивний результат або проблема поза рамками), і про це було повідомлено заявнику; або

• ми не можемо відтворити або потребуємо більше інформації, а доповідач не відповідає протягом тривалого періоду (зазвичай 30 днів), у такому випадку ми закриваємо справу до отримання нової інформації.

Ми повідомляємо доповідача про завершення процесу CVD, якщо тільки вразливість не була повідомлена анонімно.

Ⅵ. Винагороди

Ми глибоко цінуємо зусилля доповідачів та інших осіб, які конфіденційно повідомляють нам про вразливості. На знак подяки ми підтримуємо Програму винагород за виявлення вразливостей. Зовнішні дослідники безпеки, які відповідально повідомляють про вразливості відповідно до цієї політики, можуть мати право на фінансову винагороду на знак вдячності. Розмір будь-якої винагороди визначається індивідуально на основі серйозності повідомленої вразливості, як описано в наших Правилах та умовах програми винагород за виявлення вразливостей.

Ⅶ. Правова «безпечна гавань»

Дотримуючись цієї політики CVD, Keenetic визнає, що доповідач діє в рамках «добросовісного» дослідження, і не буде пред'являти кримінальні звинувачення проти доповідача у зв'язку з дослідницькою діяльністю.

Keenetic (“Keenetic”, “ми”, “нас”) керує Програмою винагород за виявлення вразливостей (“Програма”). Програма регулюється цими Правилами та умовами програми винагород за виявлення вразливостей та Політикою скоординованого розкриття вразливостей (“Політика CVD”). У сукупності ці документи становлять обов'язкові юридичні умови Програми (“Умови”).

1. Огляд програми

(1) Мета Програми — покращити безпеку наших продуктів і захистити дані користувачів, залучаючи зовнішніх експертів, відповідно до наших Умов. Надсилаючи звіт про вразливість або беручи участь в інший спосіб, ви погоджуєтеся з Умовами.

(2) Дійсна вразливість у контексті цих Умов розуміється як слабке місце, недолік або проблема безпеки, що безпосередньо впливає на одну з інфраструктур продуктів Keenetic, яка може бути використана. Розмір будь-якої винагороди визначається індивідуально на основі серйозності повідомленої вразливості.

(3) Рішення, ухвалені Keenetic щодо Винагород за виявлення вразливостей, є остаточними та обов’язковими. Keenetic може змінити або скасувати цю Програму будь-коли та з будь-якої причини.

2. «Безпечна гавань»

(1) Ми вважаємо діяльність, що здійснюється відповідно до наших Умов, дозволеною, що означає, що ми не будемо ініціювати судові позови (цивільні чи кримінальні) проти вас за ваші добросовісні зусилля в рамках Програми.

(2) Зверніть увагу, що ця гарантія застосовується лише в тому випадку, якщо ви дотримуєтеся Умов Програми – ми не можемо захистити вас від правових наслідків, ініційованих третіми сторонами або органами влади за дії, що виходять за наші рамки. Очікується, що ви завжди будете дотримуватися чинного законодавства та утримуватися від будь-яких дій, що виходять за межі дозволеного тут. Якщо ви сумніваєтеся, чи дозволена та чи інша дія, будь ласка, зупиніться і спочатку запитайте нас (див. контактну інформацію в розділі “Процедура повідомлення про вразливість та Кодекс поведінки” у Політиці скоординованого розкриття вразливостей Keenetic.

3. Сфера дії Програми

(1) Програма поширюється на наступні продукти, послуги та вебсайти нашої організації (“системи, що входять до сфери дії”):

• Вебзастосунки: наприклад, наш офіційний вебсайт і піддомени, клієнтські портали та онлайн-послуги.
• Мобільні/десктопні застосунки: Останні версії наших застосунків (Android, iOS, Windows), що розповсюджуються через офіційні магазини застосунків.
• API & інфраструктура: Публічно задокументовані API та серверні служби, якими ми володіємо.
• Апаратні/IoT-пристрої: Будь-які апаратні продукти з їхньою мікропрограмою.

(2) Лише вразливості, що безпосередньо впливають на ці системи, які входять до сфери дії, мають право на винагороду. Якщо ви сумніваєтеся, чи входить система до сфери дії, будь ласка, запитайте перед тестуванням. Ми можемо час від часу оновлювати сферу дії (наприклад, додаючи нові цілі або тимчасово призупиняючи деякі системи) – такі зміни будуть зазначені на веб-сторінці нашої Програми.

(3) Щоб уникнути непорозумінь, наступні системи не входять до сфери дії, їх тестування не дозволено (“системи, що не входять до сфери дії”):

• Сторонні служби або інфраструктура: Про вразливості на сторонніх платформах, які ми використовуємо (хмарні провайдери, інструменти SaaS тощо), слід повідомляти цим постачальникам, а не нам. Атаки або сканування наших постачальників або партнерів заборонені.
• Активи, якими ми не володіємо: Будь-який веб-сайт, застосунок або система, які прямо не вказані як такі, що входять до сфери дії (включно з доменами, що не належать нашій компанії).
• Відмова в обслуговуванні: Будь-які атаки, що порушують роботу служби (DoS/DDoS), або спроби підбору паролів шляхом надсилання великої кількості запитів чи спроб входу.
• Соціальна інженерія & фізичні атаки: Маніпулювання нашими співробітниками або користувачами (за допомогою фішингу, вішингу тощо) або спроби отримати фізичний доступ до офісів суворо заборонені. Програма обмежується технічними вразливостями.
• Порушення конфіденційності: Доступ, копіювання або зміна даних, які вам не належать. Наприклад, вилучення особистої інформації інших користувачів або конфіденційних даних не входить до сфери дії, навіть якщо вразливість теоретично це дозволяє. Якщо під час тестування ви натрапите на чужі дані, негайно припиніть роботу та повідомте про проблему; не продовжуйте досліджувати ці дані.

4. Право на участь у програмі

(1) Ця Програма призначена для зовнішніх дослідників безпеки. Щоб взяти участь і отримати будь-яку винагороду, ви повинні відповідати всім наступним критеріям придатності

a. Мінімальний вік
Вам повинно бути не менше 18 років. Якщо вам 14 і більше років, але менше 18 (або ви не досягли повноліття у вашій країні), ви повинні мати дозвіл від ваших батьків або законного опікуна на участь. У будь-якому випадку, учасники віком до 14 років не допускаються.

b. Дозвіл від особи чи організації
Ви можете брати участь як приватна особа або від імені вашого роботодавця. Якщо ви повідомляєте в ході виконання своїх службових обов'язків або використовуєте ресурси свого роботодавця, переконайтеся, що ваш роботодавець дозволяє участь у програмах винагород за виявлення вразливостей. Ви несете відповідальність за перегляд ваших трудових угод або політик.

c. Відсутність поточних або недавніх співробітників/підрядників
Співробітники Keenetic або її дочірніх компаній не мають права на участь. Це стосується будь-кого, хто залишив нашу компанію протягом останніх 6 місяців, а також будь-кого, хто наразі працює на нас як підрядник, консультант або стажер із доступом до наших внутрішніх систем. Члени сім'ї (чоловік/дружина, батько/мати, дитина, брат/сестра) наших співробітників також не мають права на участь. Це забезпечує справедливість та уникнення конфлікту інтересів.

d. Державний сектор
Якщо ви є співробітником державного сектору (наприклад, урядових, правоохоронних, військових або освітніх установ), ви можете брати участь лише як приватна особа, а не в рамках своїх офіційних обов'язків. Ви несете відповідальність за те, щоб прийняття винагороди від нас не порушувало будь-яких законів або етичних норм, які до вас застосовуються.

e. Кілька звітів & дублікати
Якщо про одну й ту саму вразливість повідомлять кілька дослідників, право на винагороду за виявлення вразливостей отримає лише перший звіт, який ми отримаємо, за умови дотримання наших Умов. Якщо пізніший звіт містить нову інформацію, про яку ми не знали, ми можемо, на наш розсуд, присудити часткову винагороду автору пізнішого звіту. Будь ласка, зверніть увагу, що ми можемо вже перебувати в процесі виправлення проблеми, коли ви про неї повідомите; якщо так, ми повідомимо вас, і такий випадок може не кваліфікуватися на винагороду, якщо ми вважатимемо це відомою проблемою.

(2) Ми залишаємо за собою право дискваліфікувати будь-якого Учасника, який не відповідає цим критеріям або який, як буде встановлено, порушує наміри цих правил. Винагороди за виявлення вразливостей не будуть виплачуватися нікому, хто перебуває в санкційному списку, або кому виплата компенсації з нашого боку буде юридично неприпустимою. Якщо у вас є питання щодо відповідності вимогам або потрібні уточнення, будь ласка, зв'яжіться з нами.

5. Процедура повідомлення про вразливість та Кодекс поведінки

(1) Як детально викладено в Політиці CVD, Keenetic надає кілька безпечних каналів для повідомлення про дійсні вразливості, зокрема

• електронна пошта - security@keenetic.com,
• вебформа для подання на https://keenetic.com/security/anonymous-reporting-form, та
• файл security.txt, розміщений на нашому вебсайті.

(2) Звіти повинні містити вичерпні технічні деталі, такі як опис вразливості, її потенційний вплив, уражені системи, версії продуктів та кроки для відтворення, доповнені, де це можливо, матеріалами для підтвердження концепції.

(3) Анонімне повідомлення дозволяється; однак, це може обмежити подальше спілкування. Очікується, що всі доповідачі будуть дотримуватися нашого Кодексу поведінки, викладеного в Політиці CVD, який забороняє, наприклад, тестування, що порушує роботу, експлуатацію поза межами підтвердження концепції, соціальну інженерію, фізичні атаки, атаки на відмову в обслуговуванні, спроби перебору та націлювання на сторонні системи.

6. Винагороди

(1) Програма пропонує винагороди за виявлення вразливостей для прийнятних, підтверджених звітів про вразливості. Наша мета — справедливо визнавати та винагороджувати дослідників безпеки на основі серйозності та впливу їхніх знахідок, водночас бувши прозорими щодо того, як визначаються винагороди.

(2) Ми класифікуємо повідомлені вразливості на основі їхнього впливу та можливості експлуатації на наступні категорії: низька, середня, висока та критична. Для кожної категорії у нас є типові діапазони винагород (у доларах США). Типова структура винагород може включати:

(3) Фактична сума винагороди для будь-якого окремого випадку визначається на власний розсуд Keenetic після того, як наша команда безпеки перевірить повідомлену вразливість і оцінить її серйозність. Ми враховуємо такі фактори, як класифікація та чутливість, а також кількість уражених систем/даних, легкість експлуатації та загальний ризик для наших користувачів та організації.

(4) Винагорода не виплачується у таких випадках:
a. Відсутність прапорців Secure/HTTPOnly на неконфіденційних файлах cookie;
b. Дублікати звітів про проблеми безпеки, включаючи проблеми безпеки, які вже були виявлені всередині компанії;
c. Атаки за допомогою автоматизованого сканування;
d. Розподілені атаки на відмову в обслуговуванні та атаки на відмову в обслуговуванні;
e. Помилки інтерфейсу користувача, користувацького досвіду, орфографічні помилки, проблеми з юзабіліті;
f. Порушення ліцензій або інших обмежень, що застосовуються до продукту будь-якого постачальника;
g. Вразливості, що є результатом шкідливого програмного забезпечення;
h. Теоретичні проблеми безпеки без реалістичного сценарію експлуатації або векторів атаки, або проблеми, які вимагали б складних дій з боку кінцевого користувача для їх експлуатації;
i. Вразливості, що вважаються нижчими за рівень впливу P1;
j. Виявлення будь-якої використовуваної служби, версія якої містить відомі вразливості (наприклад, певна версія ядра Linux або OpenSSL) без демонстрації вторгнення, отримання інформації або порушення роботи служби за допомогою цієї вразливості;
k. Використання виявленої вразливості для створення подальших експлойтів з метою тестування зазвичай недоступної функціональності, наприклад, використання витоку персональних даних, якщо немає доказів того, що вразливість може бути використана в більшій мірі;
l. Вразливості в програмному забезпеченні та послугах третіх сторін.

(4) Якщо Учасник порушує будь-яке положення Умов, Keenetic може зменшити, утримати або вимагати повернення всієї або частини будь-якої винагороди, виплаченої або належної до виплати за відповідну вразливість. Розмір будь-якого зменшення повинен бути пропорційним серйозності порушення та може враховувати такі фактори, як характер порушення, ступінь вини та будь-яка фактична чи потенційна завдана шкода.

7. Платежі

(1) Для отримання платежу вам потрібно буде надати нам необхідні дані (наприклад, спосіб оплати, податкова інформація, якщо потрібно). Винагороди зазвичай виплачуються в доларах США ($) або, якщо ми вкажемо, в іншій валюті, наприклад, євро – ми уточнимо це під час процесу нагородження. Ми часто можемо задовольнити бажану валюту платежу за обмінним курсом на момент оплати.

(2) Будь ласка, зверніть увагу, що винагороди за виявлення вразливостей зазвичай вважаються оподатковуваним доходом. Ви несете повну відповідальність за сплату будь-яких податків, належних у вашій юрисдикції, з винагороди. Ми можемо попросити вас заповнити певні податкові форми (особливо, якщо ви перебуваєте в іншій країні) перед оплатою. Якщо ви не можете або не бажаєте заповнювати необхідні документи, це може затримати або призвести до втрати платежу.

8. Авторське право

(1) Ви зберігаєте будь-які права інтелектуальної власності щодо вашого подання. Однак, надсилаючи нам звіт про вразливість, ви надаєте нам невиключну, безстрокову, безвідкличну, всесвітню, безоплатну ліцензію на використання, зміну, тестування, створення похідних робіт, поширення та публікацію інформації з вашого звіту з метою усунення вразливості та покращення безпеки.

(2) Наприклад, ми можемо використовувати наданий вами код для підтвердження концепції, щоб відтворити проблему, ми можемо розкрити деталі сторонньому постачальнику, якщо це необхідно (для координації виправлення в компоненті), і ми можемо включати відповідні деталі в наші публічні повідомлення. Ви також погоджуєтеся, що будь-які матеріали, які ви надсилаєте, є вашою оригінальною роботою або ви маєте законне право їх надавати.

9. Обмеження щодо розкриття інформації

(1) Ми розслідуємо вразливість, про яку ви повідомили, і прагнутимемо усунути її якомога швидше. Якщо ви бажаєте опублікувати деталі своїх знахідок, будь ласка, спочатку зв'яжіться з нами для отримання дозволу. Протягом 30 днів після виправлення вразливості ми вимагаємо, щоб ви утримувалися від оприлюднення детального коду експлойту для підтвердження концепції та будь-якої іншої інформації, яка могла б сприяти атакам на наші цифрові продукти. Keenetic повідомить вас, коли вразливість у вашому звіті буде виправлена.

(2) Будь-яке порушення цього розділу може зобов'язати вас повернути винагороди, присуджені за вразливість, і може призвести до вашого виключення з майбутньої участі в програмі.

10. Відповідальність

(1) Наша відповідальність за порушення Умов та за делікти обмежується умислом та грубою необережністю.

(2) Обмеження відповідальності, зазначене в пункті 1, не застосовується до

a. заподіяння шкоди життю, тілу та здоров'ю Учасника або

b. вимог Учасника щодо порушення кардинальних зобов'язань, тобто зобов'язань, що випливають з характеру Умов, порушення яких ставить під загрозу досягнення мети Програми. У цьому випадку, однак, наша відповідальність обмежується компенсацією передбачуваної, типово виникаючої шкоди.

У цих випадках ми несемо відповідальність за будь-який ступінь вини.

(3) Крім того, обмеження відповідальності з пункту 1 не застосовується, якщо дефект був прихований шахрайським шляхом.

(4) У тій мірі, в якій відповідальність за збитки щодо нас виключена, це також стосується особистої відповідальності за збитки наших співробітників, представників та довірених осіб.

11. Різне

(1) Якщо будь-яке положення цих Умов є або стане недійсним, чинність решти положень залишається незмінною. Замість недійсного положення вважатиметься узгодженим таке положення, яке найбільш точно відповідає економічній меті недійсного положення.

(2) Ці Умови регулюються та тлумачаться відповідно до законодавства Федеративної Республіки Німеччина. Законодавчі положення, що обмежують вибір права та застосування імперативних норм, зокрема тієї країни, в якій Учасник як споживач має звичайне місце проживання, залишаються незмінними.

(3) Якщо Учасник є комерсантом, юридичною особою публічного права або спеціальним фондом публічного права, місцем юрисдикції для всіх спорів, що виникають з Умов, є Франкфурт-на-Майні, Німеччина.

ID рекомендації: KEN-PSA-2026-WP01
Рівень небезпеки: Високий
Статус: Вирішено в KeeneticOS 5.0.4 та подальших версіях

Резюме

У KeeneticOS було виявлено проблему безпеки, яка дозволяє користувачеві з доступом лише для читання отримати внутрішню системну інформацію та використовувати її для підвищення привілеїв до рівня адміністратора. Ця проблема вимагає попереднього автентифікованого доступу як користувач із правами лише для читання, але може бути використана віддалено.

Продукти/конфігурації, яких це стосується

Продукти: Маршрутизатори Keenetic з версіями KeeneticOS, що є старішими за 5.0.4.

Передумова конфігурації: зловмисник повинен вже мати дійсні облікові дані з правами лише для читання в інтерфейсі керування пристрою.

Деталі вразливості

Вразливість виникає через недостатню ізоляцію конфіденційних даних конфігурації, доступних для облікових записів із правами лише на читання. Користувач, автентифікований із правами лише на читання, може отримати певні внутрішні параметри з пристрою. У сукупності ці параметри дозволяють зловмиснику підвищити свої привілеї та отримати доступ до інтерфейсу керування маршрутизатора з адміністративними правами.

Рівень небезпеки (CVSS v3.1 — оцінка аналітиків)

8,8 (Високий) — AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Обґрунтування: Атака вимагає лише автентифікованого доступу з низькими привілеями, може бути використана віддалено та призводить до повної компрометації конфіденційності, цілісності та доступності.

Усунення та зміцнення

Оновлення: Переведіть усі пристрої з версіями, старішими за 5,0, на KeeneticOS 5.0.4 або новішу. Використовуйте останню версію ОС, доступну для вашої моделі.

Тимчасовий захід: Уникайте створення або призначення облікових записів користувачів із правами лише для читання, доки не буде застосовано оновлення.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.

ID рекомендації: KEN-PSA-2025-WP01
Рівень небезпеки: Високий
CWE: CWE-521 (Слабкі вимоги до пароля)
Статус: Виправлено в KeeneticOS 4.3 і новіших версіях

Резюме

До версії KeeneticOS 4.3 користувачі могли встановлювати слабкі паролі адміністратора та відкривати вебінтерфейс маршрутизатора в Інтернеті, що створювало високий ризик компрометації. Нещодавні внутрішні розслідування показали, що ця вразливість використовується автоматизованими сканерами паролів на пристроях із найпоширенішими слабкими паролями. Остання версія KeeneticOS 4.3 вимагає надійніших паролів і блокує публічний вебдоступ, якщо встановлено відомий скомпрометований пароль.

Ми виявили, що значна кількість користувачів продовжує покладатися на слабкі або легко вгадувані паролі. Це створює суттєві ризики для безпеки, зокрема несанкціонований доступ, витік даних та потенційні перебої в наданні послуг. Захист даних користувачів є нашим найвищим пріоритетом, і усунення цих уразливостей є надзвичайно важливим.

Для посилення загальної безпеки та забезпечення безперервного захисту даних користувачів для пристроїв з KeeneticOS версії, ранішої за 4.3, буде розгорнуто обов'язкове оновлення програмного забезпечення відповідно до статті 6 Ліцензійної угоди кінцевого користувача та згідно з Актом ЄС про кіберстійкість (CRA). Це оновлення включає посилені заходи безпеки, інструменти для створення надійніших паролів, а також критичні виправлення помилок, що підвищують стабільність системи та захищають облікові записи користувачів.

Приносимо вибачення за можливі незручності, спричинені цим оновленням. Щоб звести до мінімуму перебої в роботі, ми намагаємося провести його в неробочий час. Якщо у вас виникнуть запитання або потрібна буде допомога, будь ласка, зверніться до нашої служби підтримки.

Продукти/конфігурації, яких це стосується

Продукти: Маршрутизатори Keenetic з версіями KeeneticOS, старішими за 4.3.

Передумова конфігурації: Вебінтерфейс маршрутизатора має бути доступний з Інтернету, а віддалений вебдоступ — увімкнено.

Деталі вразливості

Проблема: Приймаються слабкі паролі адміністратора, тоді як вебінтерфейс доступний з Інтернету.

Вплив: Повне адміністративне захоплення пристрою, що дозволяє змінювати конфігурацію, перехоплювати/перенаправляти трафік, вмикати додаткові служби та, можливо, надалі проникати у внутрішню мережу.

Вектор: Віддалений (Інтернет); не потрібна попередня автентифікація чи взаємодія з користувачем.

Сприятливі фактори: Доступність інтерфейсу адміністратора з Інтернету та слабкі облікові дані, які легко вгадати.

Рівень небезпеки (CVSS v3.1 — оцінка аналітиків)

8.8 (Високий) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
Обґрунтування: Віддалений доступ без автентифікації до адміністративного контролю, коли дозволені слабкі паролі; вплив на доступність є вторинним щодо конфіденційності/цілісності.

Усунення та зміцнення

Керування платформою: Пристрій автоматично перевіряє, чи є пароль адміністратора у списку найпоширеніших слабких паролів. У цьому випадку він блокує віддалений доступ до вебінтерфейсу та виконання користувацького програмного забезпечення, а пароль можна змінити лише з локальної мережі. Під час введення нового пароля пристрій перевіряє його надійність відповідно до рекомендацій NIST SP 800-63B.

Оновлення: Оновіть усі пристрої з версіями, старішими за 4.3, до KeeneticOS 4.3 або новішої. Використовуйте останню версію ОС, доступну для вашої моделі.

Облікові дані адміністратора: Використовуйте довгі, унікальні паролі. Ми рекомендуємо використовувати щонайменше 15 символів або згенеровану кодову фразу.

Обмежте доступ: Якщо віддалений вебдоступ не є вкрай необхідним, вимкніть його. Використовуйте правила міжмережевого екрану, щоб дозволити доступ до вебінтерфейсу пристрою лише з певних IP-адрес.

Відстежуйте атаки: Слідкуйте за повторними невдалими спробами входу або блокуваннями, оскільки це може бути ознакою атаки методом перебору.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.

ID рекомендації: KEN-PSA-2025-WA01
Рівень небезпеки: Середній
CVE: CVE-2025-56007, CVE-2025-56008, CVE-2025-56009
Статус: Виправлено в KeeneticOS 4.3 і новіших версіях

Keenetic отримав і перевірив звіти про три серйозні вразливості безпеки, що стосуються всіх версій KeeneticOS до 4.3. Незалежний дослідник безпеки відповідально розкрив ці вразливості, які згодом були усунені в останньому стабільному випуску.

Вразливості ідентифіковані як CVE-2025-56007, CVE-2025-56008, CVE-2025-56009.

CVE-2025-56007 — CRLF-ін'єкція в кінцевій точці /auth API:
Вразливість CRLF-ін'єкції в кінцевій точці /auth API може дозволити віддаленим зловмисникам маніпулювати HTTP-заголовками та впроваджувати несанкціоновані команди. Зловмисники можуть додавати нових адміністративних користувачів і отримувати контроль над пристроєм, змушуючи жертву відкрити спеціально створену сторінку.

CVE-2025-56008 — Міжсайтовий скриптинг (XSS) на сторінці «Бездротовий Інтернет-провайдер»:
Зловмисники можуть використовувати вразливість XSS на сторінці конфігурації «Бездротовий Інтернет-провайдер», транслюючи спеціально створений SSID, що містить шкідливий скрипт. Коли користувач сканує доступні мережі за допомогою вебінтерфейсу, скрипт виконується в контексті сеансу адміністратора, що дозволяє зловмиснику отримати контроль над пристроєм.

CVE-2025-56009 — Міжсайтова підробка запитів (CSRF) в кінцевій точці /rci API:
Вразливість CSRF в кінцевій точці /rci API може дозволити зловмисникам виконувати несанкціоновані дії від імені автентифікованого користувача. Заманюючи жертву відвідати шкідливу сторінку, зловмисники можуть непомітно додавати користувачів з повними правами та компрометувати пристрій.

Пристрої, які можуть бути вразливими:
Усі моделі Keenetic з індексом «KN», випущені з 2017 року.

Рівень серйозності:
Рівень серйозності вважається середнім, оскільки під час атаки користувач повинен бути авторизований у вебінтерфейсі маршрутизатора. Атака на сторінку «Бездротовий Інтернет-провайдер» також вимагає, щоб зловмисник перебував поблизу пристрою.

Версії мікропрограми, які зазнали впливу:
Усі версії KeeneticOS до 4.2.

Рішення:
Усім користувачам настійно рекомендується оновити свої пристрої Keenetic до останньої стабільної версії мікропрограми, KeeneticOS 4.3, яка містить виправлення для цих вразливостей. Оновлення мікропрограми можна виконати через вебінтерфейс пристрою або мобільний додаток Keenetic.

Подяки:
Ми дякуємо незалежному досліднику за відповідальне розкриття інформації та внесок у підвищення безпеки продуктів Keenetic.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.

ID рекомендації: KEN-PSA-2025-WD01
Рівень небезпеки: Середній
CVE: CVE-2025-20674, CVE-2025-20685, CVE-2025-20686
Статус: Виправлено в KeeneticOS 4.3.2 і новіших версіях

Компанії Keenetic відомо про вразливість “Введення довільних пакетів“ у драйвері точки доступу Wi-Fi, про яку повідомив виробник чіпсетів Mediatek, Inc. Існує можливість впровадження довільного пакета через відсутність перевірки дозволів. Це може призвести до віддаленого підвищення привілеїв без необхідності додаткових прав на виконання. Для експлуатації не потрібна взаємодія з користувачем.

Виробник чіпсетів також повідомив про додаткові вразливості, такі як можливий запис за межі масиву через неправильну перевірку меж. Це може призвести до віддаленого виконання коду без необхідності додаткових прав на виконання.

Вразливості ідентифіковані як CVE-2025-20674, CVE-2025-20685, CVE-2025-20686.

Пристрої, які можуть бути вразливими:
Усі моделі Keenetic з індексом «KN», випущені з 2017 року, базуються на чіпсетах Wi-Fi виробництва Mediatek: MT7628, MT7603, MT7612, MT7613, MT7915, MT7916.

Версії мікропрограми, які зазнали впливу:
Усі версії KeeneticOS до 4.3.1 включно

Рівень серйозності:
Рівень серйозності вважається середнім, оскільки зловмисник повинен перебувати в безпосередній фізичній близькості до цільового пристрою.

Рішення:
KeeneticOS 4.3.2 містить необхідні виправлення для усунення цих вразливостей. Це оновлення стосується всіх вразливих моделей Keenetic. Ми наполегливо рекомендуємо користувачам оновити свої пристрої до останньої версії KeeneticOS, доступної онлайн. Keenetic вже розпочав розгортання автоматичних оновлень на пристроях, у яких увімкнено опцію автоматичного оновлення.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.

ID рекомендації: KEN-PSA-2025-CS01
Рівень небезпеки: Середній
Статус: Вирішено

У світлі нововідкритої інформації Keenetic Limited повідомляє користувачам мобільного додатку Keenetic, які зареєструвалися до 16 березня 2023 року, що частина даних їхнього мобільного додатку могла бути скомпрометована через несанкціонований доступ до бази даних.

Вранці 15 березня 2023 року незалежний дослідник ІТ-безпеки повідомив нас про можливість несанкціонованого доступу до бази даних мобільного додатку Keenetic. Перевіривши характер і достовірність ризику, ми негайно вирішили проблему вдень 15 березня 2023 року. Дослідник ІТ-безпеки запевнив нас, що він ні з ким не ділився даними та знищив їх. Відтоді і до кінця лютого 2025 року ми не мали жодних ознак того, що база даних була скомпрометована або що хтось із користувачів постраждав.

28 лютого 2025 року ми дізналися, що деяка інформація з бази даних була розкрита незалежному ЗМІ. Тому ми визначили, що більше не можемо гарантувати належне знищення даних, і деяка інформація тепер може перебувати поза нашим контролем.

Однак, зважаючи на характер даних, які потенційно могли бути розкриті, ми оцінюємо ризик шахрайської діяльності як низький.

Були доступні обмежені поля бази даних: ідентифікатори Keycloak, електронні адреси (логіни) та імена облікових записів Keenetic, локалі; конфігурації облікових записів користувачів пристроїв, включаючи хеші паролів MD5 та NT; власні імена KeenDNS; конфігурації мережевих інтерфейсів, включаючи SSID Wi-Fi та попередньо узгоджені ключі; налаштування каналу Wi-Fi, ідентифікатори та ключі роумінгу; налаштування політики IP та формування трафіку; адреси віддалених вузлів, логіни та паролі VPN-клієнтів, призначені IP-адреси; імена та MAC-адреси зареєстрованих хостів; конфігурації IPsec site-to-site; конфігурації сервера IPsec Virtual-IP; налаштування пулу DHCP; налаштування NTP; списки доступу IP та MAC.

Наскільки нам відомо, жодні інші дані не були доступні. Зокрема, дані RMM, дані облікового запису Keenetic, приватні ключі та конфігурації VPN-тунелів Wireguard, а також дані OpenVPN були недоступні.

Keenetic не збирає, не зберігає та не аналізує дані про платіжні картки або пов’язані з ними облікові дані, дані про транзакції, банківські реквізити чи банківські паролі. Таким чином, ці дані не постраждали.

Ми рекомендуємо цим користувачам мобільного додатку Keenetic змінити наступні паролі та попередньо узгоджені ключі:

- Паролі облікових записів користувачів пристрою Keenetic (посилання на інструкцію);

- Паролі Wi-Fi (посилання на інструкцію);

- Паролі/попередньо узгоджені ключі VPN-клієнтів для: PPTP/L2TP (посилання на інструкцію), L2TP/IPSec (посилання на інструкцію), IPSec Site-to-Site (посилання на інструкцію), SSTP (посилання на інструкцію).

Ми твердо переконані, що несанкціонований доступ стався без будь-яких шахрайських чи зловмисних намірів, і інформація з бази даних не є загальнодоступною, менше з тим, відповідне повідомлення було надіслано до відповідного органу із захисту даних.

Ми перепрошуємо за будь-які незручності та підтверджуємо, що було вжито всіх необхідних заходів для запобігання подібній ситуації в майбутньому.

Безпека є нашим найвищим пріоритетом для створення захищеного та контрольованого середовища для захисту мереж і даних наших користувачів. Ми постійно працюємо над удосконаленням нашої операційної системи, додатків і хмарної інфраструктури. Завдяки регулярним оновленням ми постійно підвищуємо продуктивність і безпеку, щоб наше програмне забезпечення залишалося актуальним.

Якщо у вас виникнуть запитання, будь ласка, звертайтеся до відповідної служби технічної підтримки.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.

ID рекомендації: KEN-PSA-2024-ED01
CVE: CVE-2024-4021, CVE-2024-4022
Рівень небезпеки: Низький
Статус: Виправлено в KeeneticOS 4.3 і новіших версіях

Keenetic було завчасно повідомлено, і компанія повністю обізнана про вразливості CVE-2024-4021 та CVE-2024-4022.

Пристрої, які можуть бути вразливими:
- KN-1010
- KN-1410
- KN-1711
- KN-1810
- KN-1910

Версії мікропрограми, які зазнали впливу:
Усі версії KeeneticOS до 4.1.2.15 включно.

Роз'яснення щодо повідомлених вразливостей:
1. CVE-2024-4022 стосується повідомленого розкриття інформації, призначеної для публічного доступу. Відображення назви моделі та версії мікропрограми у вебінтерфейсі є проектним рішенням і не вважається вразливістю. Назва моделі явно відображається в інтерфейсі користувача, а версію мікропрограми можна легко визначити приблизно через часті оновлення, які помітно змінюють інтерфейс.
2. CVE-2024-4021 не надає віддаленого доступу, контролю або витоку приватної інформації користувача. Натомість вона дозволяє зловмиснику визначити, які програмні компоненти (наприклад, WPA3-E, WireGuard, OpenVPN) встановлені на маршрутизаторі. Важливо, що ця вразливість не вказує, чи є ці компоненти активними або увімкненими. Вона також не розкриває, чи надається певна послуга ззовні (наприклад, WireGuard може бути доступний через переадресацію портів, а не встановлений на самому маршрутизаторі). Після консультації з незалежним стороннім дослідником безпеки, Keenetic класифікував цю вразливість як розкриття інформації з низьким рівнем ризику. Це означає, що вона безпосередньо не компрометує пристрій або інформацію користувача.

Рівень серйозності:
Рівень серйозності розкриття надмірної інформації про пристрій та операційну систему вважається низьким.

Рішення:
Через низький рівень ризику цих вразливостей Keenetic розв'яже ці проблеми в наступному оновленні KeeneticOS. Виправлення буде включено у версію KeeneticOS 4.3, випуск якої заплановано на середину 2025 року. Термінове оновлення не потрібне.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.

ID рекомендації: KEN-PSA-2021-WD01
Рівень небезпеки: Середній
CVE: CVE-2020-24586, CVE-2020-24587, CVE-2020-24588, CVE-2020-26139, CVE-2020-26140, CVE-2020-26146, CVE-2020-26147
Статус: Виправлено в KeeneticOS 3.6.6 і новіших версіях

Keenetic відомо про вразливості безпеки Wi-Fi, відомі як FragAttacks (атаки фрагментації та агрегації). Детальну інформацію можна знайти за посиланням https://www.fragattacks.com.

Виявлено наступні вразливості:
- CVE-2020-24586
- CVE-2020-24587
- CVE-2020-24588
- CVE-2020-26139
- CVE-2020-26140
- CVE-2020-26146
- CVE-2020-26147

Пристрої, які можуть бути вразливими:
Усі моделі Keenetic з індексом «KN», випущені з 2017 року.

Версії мікропрограми, які зазнали впливу:
Усі версії KeeneticOS до 3.6.5 включно.

Рівень серйозності:
Рівень серйозності FragAttacks вважається середнім, з широким впливом майже на всі пристрої Wi-Fi з 1997 року. Вразливості потенційно можуть призвести до розкриття інформації та підвищення привілеїв. Однак їх використання не є простим і вимагає, щоб зловмисник перебував у безпосередній фізичній близькості до цільового пристрою.

Рішення:
Версія KeeneticOS 3.6.6 містить необхідні виправлення, що усувають ці вразливості Wi-Fi. Це оновлення стосується всіх вразливих моделей Keenetic. Ми наполегливо рекомендуємо користувачам оновити свої пристрої до останньої версії KeeneticOS, доступної онлайн. Keenetic вже розпочав розгортання автоматичних оновлень на пристроях, у яких увімкнено опцію автоматичного оновлення.

Note: Keenetic provides this translation of the original English language document as a convenience to users. Please refer to English language document as a legally binding.