Solicitamos que seja utilizado o seguinte assunto:<\/span><\/p>\nSecurity Vulnerability Report \u2014 [PRODUCT \/ ISSUE]<\/b><\/p>\n
Aceitamos comunica\u00e7\u00f5es de vulnerabilidades em <\/span>ingl\u00eas ou portugu\u00eas<\/b>.<\/span><\/p>\nSempre que razoavelmente poss\u00edvel, solicitamos que n\u00e3o sejam divulgados publicamente os detalhes da vulnerabilidade antes de nos contactar. A divulga\u00e7\u00e3o coordenada permite-nos investigar o problema e, quando apropriado, desenvolver e implementar medidas corretivas ou de atenua\u00e7\u00e3o.<\/span><\/p>\n4. Informa\u00e7\u00f5es a Incluir<\/strong><\/p>\nSolicitamos que forne\u00e7a, na medida do razoavelmente poss\u00edvel, as seguintes informa\u00e7\u00f5es:<\/span><\/p>\n\n- Nome do produto;<\/span><\/li>\n
- N\u00famero de s\u00e9rie;<\/span><\/li>\n
- Vers\u00e3o do produto;<\/span><\/li>\n
- Vers\u00e3o do firmware ou software, quando aplic\u00e1vel;<\/span><\/li>\n
- Descri\u00e7\u00e3o da vulnerabilidade;<\/span><\/li>\n
- Impacto na seguran\u00e7a e potenciais consequ\u00eancias;<\/span><\/li>\n
- Passos necess\u00e1rios para reproduzir o problema;<\/span><\/li>\n
- Prova de conceito (Proof of Concept \u2014 PoC), quando dispon\u00edvel;<\/span><\/li>\n
- Condi\u00e7\u00f5es de rede ou de comunica\u00e7\u00e3o necess\u00e1rias para reproduzir o problema;<\/span><\/li>\n
- Indica\u00e7\u00e3o sobre se \u00e9 necess\u00e1rio acesso f\u00edsico ao dispositivo;<\/span><\/li>\n
- Indica\u00e7\u00e3o sobre se \u00e9 necess\u00e1ria autentica\u00e7\u00e3o ou intera\u00e7\u00e3o do utilizador;<\/span><\/li>\n
- Indica\u00e7\u00e3o sobre se o problema afeta outros produtos ou vers\u00f5es;<\/span><\/li>\n
- Indica\u00e7\u00e3o sobre se a vulnerabilidade j\u00e1 \u00e9 publicamente conhecida ou aparenta estar a ser explorada ativamente.<\/span><\/li>\n<\/ul>\n
N\u00e3o \u00e9 necess\u00e1rio dispor de todas estas informa\u00e7\u00f5es antes de nos contactar. As comunica\u00e7\u00f5es ser\u00e3o aceites e avaliadas com base nas informa\u00e7\u00f5es dispon\u00edveis no momento da comunica\u00e7\u00e3o.<\/span><\/p>\n5. Exemplos de Vulnerabilidades de Seguran\u00e7a<\/strong><\/p>\nEntre os exemplos de vulnerabilidades que podem ser comunicadas incluem-se:<\/span><\/p>\n\n- Bypass de autentica\u00e7\u00e3o ou de autoriza\u00e7\u00e3o;<\/span><\/li>\n
- Controlo n\u00e3o autorizado de um dispositivo ou sistema;<\/span><\/li>\n
- Comunica\u00e7\u00f5es de dispositivos inseguras ou sem autentica\u00e7\u00e3o;<\/span><\/li>\n
- Ataques de repeti\u00e7\u00e3o (<\/span>replay<\/span><\/i>), <\/span>spoofing<\/span><\/i> ou manipula\u00e7\u00e3o de mensagens;<\/span><\/li>\n
- Inje\u00e7\u00e3o de comandos;<\/span><\/li>\n
- Execu\u00e7\u00e3o remota de c\u00f3digo;<\/span><\/li>\n
- Escalada de privil\u00e9gios;<\/span><\/li>\n
- Atualiza\u00e7\u00f5es inseguras de firmware ou software;<\/span><\/li>\n
- Exposi\u00e7\u00e3o de credenciais, chaves criptogr\u00e1ficas ou informa\u00e7\u00f5es sens\u00edveis;<\/span><\/li>\n
- Vulnerabilidades em APIs ou servi\u00e7os em nuvem;<\/span><\/li>\n
- Vulnerabilidades em aplica\u00e7\u00f5es m\u00f3veis;<\/span><\/li>\n
- Vulnerabilidades em componentes de terceiros que afetem um produto ENANCER.<\/span><\/li>\n<\/ul>\n
Os exemplos acima s\u00e3o meramente ilustrativos e n\u00e3o limitam os tipos de vulnerabilidades que podem ser comunicados ao abrigo desta pol\u00edtica.<\/span><\/p>\n6. Testes e Investiga\u00e7\u00e3o de Seguran\u00e7a de Boa-F\u00e9<\/strong><\/p>\nA ENANCER acolhe atividades de investiga\u00e7\u00e3o de seguran\u00e7a realizadas de boa-f\u00e9 sobre os seus produtos.<\/span><\/p>\nOs investigadores devem:<\/span><\/p>\n\n- Testar apenas produtos, sistemas e contas que lhes perten\u00e7am ou para os quais tenham autoriza\u00e7\u00e3o expressa para realizar testes;<\/span><\/li>\n
- Limitar os testes ao estritamente necess\u00e1rio e razo\u00e1vel para demonstrar a exist\u00eancia da vulnerabilidade;<\/span><\/li>\n
- Evitar aceder, modificar, eliminar ou divulgar dados pertencentes a outros utilizadores;<\/span><\/li>\n
- Evitar a interrup\u00e7\u00e3o intencional de servi\u00e7os ou dispositivos;<\/span><\/li>\n
- Evitar realizar testes contra outros clientes, utilizadores ou sistemas de terceiros;<\/span><\/li>\n
- Interromper os testes assim que tenham sido obtidas evid\u00eancias suficientes para demonstrar a vulnerabilidade;<\/span><\/li>\n
- Comunicar a vulnerabilidade \u00e0 ENANCER antes de qualquer divulga\u00e7\u00e3o p\u00fablica, sempre que razoavelmente poss\u00edvel.<\/span><\/li>\n<\/ul>\n
A investiga\u00e7\u00e3o de seguran\u00e7a de hardware, incluindo a an\u00e1lise de firmware ou de interfaces de dispositivos, poder\u00e1 ser realizada em dispositivos legalmente detidos pelo investigador ou relativamente aos quais tenha sido expressamente autorizada a realiza\u00e7\u00e3o de testes, desde que a investiga\u00e7\u00e3o n\u00e3o tenha como alvo outros utilizadores ou sistemas.<\/span><\/p>\n7. Salvaguarda Jur\u00eddica (Safe Harbour<\/i>)<\/strong><\/p>\nA ENANCER n\u00e3o pretende instaurar a\u00e7\u00f5es de natureza civil ou criminal exclusivamente com base em atividades de investiga\u00e7\u00e3o de seguran\u00e7a realizadas de boa-f\u00e9 e em conformidade com a presente pol\u00edtica.<\/span><\/p>\nEste compromisso aplica-se a atividades de investiga\u00e7\u00e3o que sejam proporcionais, realizadas em sistemas ou dispositivos autorizados e que n\u00e3o envolvam atividades maliciosas, interrup\u00e7\u00e3o intencional de servi\u00e7os, acesso n\u00e3o autorizado a sistemas de terceiros, furto de dados, extors\u00e3o ou outras atividades que ultrapassem o \u00e2mbito de uma investiga\u00e7\u00e3o de seguran\u00e7a respons\u00e1vel.<\/span><\/p>\nSe tiver d\u00favidas sobre se uma atividade de investiga\u00e7\u00e3o planeada se encontra abrangida por esta pol\u00edtica, dever\u00e1 contactar-nos antes de prosseguir.<\/span><\/p>\n8. Compromisso de Resposta<\/strong><\/p>\nA ENANCER trata as comunica\u00e7\u00f5es de vulnerabilidades de forma c\u00e9lere e transparente, em conformidade com as obriga\u00e7\u00f5es que sejam aplic\u00e1veis ao abrigo do <\/span>Regulamento de Ciber-Resili\u00eancia (Cyber Resilience Act \u2014 CRA)<\/b>.<\/span><\/p>\nOs nossos objetivos relativamente aos principais marcos do processo s\u00e3o os seguintes:<\/span><\/p>\n![\"\"](\"https:\/\/only-smartbuildings.com\/wp-content\/uploads\/2026\/10\/tabela-CVD_PT.png\")
<\/p>\n
Prazos e eventuais extens\u00f5es<\/strong>
\n<\/b>O tempo efetivamente necess\u00e1rio para investigar, corrigir e validar uma vulnerabilidade poder\u00e1 variar em fun\u00e7\u00e3o da complexidade t\u00e9cnica, de revis\u00f5es de hardware, de considera\u00e7\u00f5es de seguran\u00e7a e do eventual envolvimento de fornecedores terceiros.<\/span><\/p>\nSempre que seja necess\u00e1ria uma extens\u00e3o dos prazos acima indicados, notificaremos o autor da comunica\u00e7\u00e3o logo que poss\u00edvel e forneceremos um prazo revisto. Quando tenham sido disponibilizados dados de contacto, procuraremos manter o autor da comunica\u00e7\u00e3o informado sobre a evolu\u00e7\u00e3o do processo e os respetivos marcos.<\/span><\/p>\nOs prazos acima indicados constituem <\/span>objetivos internos de resposta da ENANCER<\/b> e n\u00e3o substituem quaisquer prazos de comunica\u00e7\u00e3o obrigat\u00f3rios que possam ser aplic\u00e1veis por for\u00e7a da legisla\u00e7\u00e3o.<\/span><\/p>\nCaso uma vulnerabilidade cumpra os crit\u00e9rios de notifica\u00e7\u00e3o do Artigo 14 do CRA (seja por explora\u00e7\u00e3o ativa ou incidentes de seguran\u00e7a graves), a ENANCER tamb\u00e9m informar\u00e1 as entidades competentes dentro dos prazos estabelecidos pelo regulamento.<\/span><\/p>\n9. Avalia\u00e7\u00e3o e Corre\u00e7\u00e3o de Vulnerabilidades<\/strong><\/p>\nAs vulnerabilidades comunicadas s\u00e3o avaliadas tendo em considera\u00e7\u00e3o, entre outros, os seguintes fatores:<\/span><\/p>\n\n- Potencial impacto nos utilizadores e nos produtos;<\/span><\/li>\n
- Facilidade e condi\u00e7\u00f5es de explora\u00e7\u00e3o;<\/span><\/li>\n
- N\u00edvel de acesso ou privil\u00e9gios necess\u00e1rios;<\/span><\/li>\n
- Exposi\u00e7\u00e3o atrav\u00e9s da rede;<\/span><\/li>\n
- Necessidade de intera\u00e7\u00e3o do utilizador;<\/span><\/li>\n
- N\u00famero e tipo de produtos afetados;<\/span><\/li>\n
- Disponibilidade de medidas de atenua\u00e7\u00e3o;<\/span><\/li>\n
- Exist\u00eancia de evid\u00eancias de explora\u00e7\u00e3o.<\/span><\/li>\n<\/ul>\n
Quando apropriado, uma vulnerabilidade poder\u00e1 ser tratada atrav\u00e9s de:<\/span><\/p>\n\n- Atualiza\u00e7\u00f5es de firmware ou software;<\/span><\/li>\n
- Altera\u00e7\u00f5es da configura\u00e7\u00e3o de seguran\u00e7a;<\/span><\/li>\n
- Altera\u00e7\u00f5es de protocolos ou mecanismos de comunica\u00e7\u00e3o;<\/span><\/li>\n
- Solu\u00e7\u00f5es alternativas ou medidas de atenua\u00e7\u00e3o;<\/span><\/li>\n
- Orienta\u00e7\u00f5es aos clientes;<\/span><\/li>\n
- Substitui\u00e7\u00e3o de produtos ou outras medidas relacionadas com o respetivo ciclo de vida.<\/span><\/li>\n<\/ul>\n
No caso de vulnerabilidades que afetem mecanismos de comunica\u00e7\u00e3o legados ou produtos sujeitos a processos de melhoria de seguran\u00e7a, a ENANCER poder\u00e1 implementar as medidas de corre\u00e7\u00e3o de forma progressiva nas diferentes gera\u00e7\u00f5es de produtos afetados.<\/span><\/p>\n10. Componentes de Terceiros<\/strong><\/p>\nOs nossos produtos podem incorporar componentes de hardware e software desenvolvidos ou fornecidos por terceiros.<\/span><\/p>\nSe uma vulnerabilidade comunicada tiver origem num componente de terceiros, mas afetar um produto ENANCER, avaliaremos o respetivo impacto e, quando apropriado, coordenaremos as medidas necess\u00e1rias com o fornecedor, fabricante ou respons\u00e1vel pela manuten\u00e7\u00e3o do componente.<\/span><\/p>\nRecomenda-se que os investigadores que comuniquem este tipo de vulnerabilidade forne\u00e7am, quando conhecidos, o nome do componente, o fornecedor e a respetiva vers\u00e3o.<\/span><\/p>\n11. Divulga\u00e7\u00e3o Coordenada<\/strong><\/p>\nA ENANCER segue um processo estruturado de divulga\u00e7\u00e3o coordenada de vulnerabilidades.<\/span><\/p>\nSolicitamos aos investigadores que concedam um per\u00edodo de tempo razo\u00e1vel para investiga\u00e7\u00e3o, desenvolvimento e implementa\u00e7\u00e3o de medidas de corre\u00e7\u00e3o ou atenua\u00e7\u00e3o antes de procederem \u00e0 divulga\u00e7\u00e3o p\u00fablica dos detalhes da vulnerabilidade.<\/span><\/p>\nO prazo adequado para a divulga\u00e7\u00e3o p\u00fablica depender\u00e1 das circunst\u00e2ncias espec\u00edficas de cada vulnerabilidade, incluindo:<\/span><\/p>\n\n- Gravidade;<\/span><\/li>\n
- Facilidade e condi\u00e7\u00f5es de explora\u00e7\u00e3o;<\/span><\/li>\n
- Exist\u00eancia de evid\u00eancias de explora\u00e7\u00e3o ativa;<\/span><\/li>\n
- Disponibilidade de medidas de corre\u00e7\u00e3o ou atenua\u00e7\u00e3o;<\/span><\/li>\n
- Grau de exposi\u00e7\u00e3o dos clientes;<\/span><\/li>\n
- Depend\u00eancias de fornecedores terceiros.<\/span><\/li>\n<\/ul>\n
Se uma vulnerabilidade j\u00e1 for publicamente conhecida ou estiver a ser explorada ativamente, solicitamos que essa circunst\u00e2ncia seja claramente indicada na comunica\u00e7\u00e3o, de modo a permitir-nos atribuir a prioridade adequada \u00e0 resposta.<\/span><\/p>\nA exist\u00eancia de um processo de divulga\u00e7\u00e3o coordenada n\u00e3o impede a ENANCER de cumprir quaisquer obriga\u00e7\u00f5es legais ou regulamentares de comunica\u00e7\u00e3o ou divulga\u00e7\u00e3o que lhe sejam aplic\u00e1veis.<\/span><\/p>\n12. Avisos de Seguran\u00e7a (Security Advisories<\/i>)<\/strong><\/p>\nQuando apropriado, a ENANCER poder\u00e1 publicar <\/span>Avisos de Seguran\u00e7a (<\/b>Security Advisories<\/i><\/b>)<\/b> relativos a vulnerabilidades confirmadas e \u00e0s respetivas medidas de corre\u00e7\u00e3o ou atenua\u00e7\u00e3o dispon\u00edveis.<\/span><\/p>\nUm Aviso de Seguran\u00e7a poder\u00e1 incluir:<\/span><\/p>\n\n- Produtos e vers\u00f5es afetados;<\/span><\/li>\n
- Descri\u00e7\u00e3o da vulnerabilidade;<\/span><\/li>\n