CRA | Qt的漏洞管理

基础网络安全要求 - ‌附件一第一部分第2条a款

含数字元素的产品必须确保网络安全并消除已知漏洞，采用安全配置，支持及时的安全更新。确保防止未授权访问、保障数据保密性、完整性和可用性。

查看法规原文

技术文档要求 - 附件VII第2条b款

技术文档必须包括产品概述、软件物料清单(SBOM)和用户说明，应详细说明开发与漏洞处理流程、网络安全风险评估、CE标志及欧盟符合性声明。

查看法规原文

早期预警机制 - 第二章制造商义务，第14条第2款a-c项

制造商须针对被主动利用的漏洞提交通告：24小时内发布早期预警，72小时内提交详细漏洞通告，并在补救措施就绪后14日内提交最终报告。所有报告须包含漏洞详情、影响范围及缓解措施。

查看法规原文

商业版客户将在48工作小时内获Qt Group响应（或通过高级支持在24小时内获得响应）。

处理流程

1.客户在客户门户网站中创建工单，标记为潜在安全问题。

2.Qt Group验证其为安全问题：

3. Qt Group 将bugreports.qt.io上的工单ID告知客户（针对可见工单）。

4.Qt Group分配CVE编号，并发送首封早期预警清单(EWL) 邮件。

5.该问题将分配给对应的研发团队按照优先级进行修复。

6.一旦补丁就绪，Qt Group会发送第二封EWL邮件。

7.补丁集成至正式版本并通过测试

8.Qt Group发布并发送第三封（最终）EWL邮件，同时发布技术博客、安全公告、CVE数据库更新等公共信息。

1.用户发送电子邮件至security@qt-project.org。

2.Qt Group在bugreports.qt.io新建隐藏状态工单或更新现有工单数据。

3.等待研发团队梳理流程：漏洞真实性验证、优先级验证、补充信息需求判断。

漏洞管理