协调漏洞披露政策

PSIRT 信息发布

LEM 在其官方网站上发布产品安全事件响应团队（PSIRT）的官方信息：https://www.lem.com/cn/psirt

该页面提供：

• 官方漏洞报告说明；
• 用于加密提交报告所需的 PGP 公钥；
• 报告者需要提供的信息；
• LEM 在漏洞分类评估和沟通方面的承诺；
• PSIRT 流程及负责任漏洞披露要求的说明。

该公开的 PSIRT 页面是向 LEM 报告漏洞以及与 LEM 进行安全通信的权威外部参考。所有外部报告者必须使用该页面提供的 PGP 密钥并遵循相关说明。

单一联系点（CRA 附件 II 强制要求）

LEM 按照 CRA 附件 II 的要求提供官方 PSIRT 报告渠道。

电子邮箱：productsecurity@lem.com

PGP 加密：所有报告必须使用 LEM PSIRT 网页上提供的 LEM PSIRT 公共 PGP 密钥进行加密。

报告者还必须提供自己的 PGP 公钥，以便 LEM 能够安全地发送加密回复。

提交报告即表示报告者确认其有权提交该报告，并授予 LEM 为进行安全评估、验证、修复、记录以及公开 PSIRT 页面所述的协调披露活动而处理该报告所必需的权利。

对于经常提交报告或具有可靠记录，并且过去所提交内容经证实准确的可信报告者，可采用简化的漏洞分类评估和沟通流程。

必需信息

为便于 LEM 高效评估报告，请至少提供以下信息：

• 产品标识信息（型号、零件编号、固件/软件版本）
• 疑似漏洞的详细说明
• 漏洞发现方法和日期
• 已知的漏洞利用详情（如有）
• 漏洞复现步骤
• 任何已进行或计划进行的公开披露
• 报告者的联系信息

如缺少必要信息，LEM 可能无法对报告进行评估。

安全测试指南

安全研究必须遵循负责任的实践原则，不得造成服务中断或安全影响。

严格禁止以下活动：

• 拒绝服务（DoS/DDoS）测试
• 社会工程、网络钓鱼或语音钓鱼
• 针对第三方基础设施的攻击
• 任何导致数据丢失、侵犯隐私或运营中断的行为。如发生非预期的数据泄露，必须立即停止测试。

对于遵循这些指南以及 CRA/ISO 负责任漏洞披露原则进行的善意、非侵入性测试，LEM 不会采取法律行动。