Política global de divulgación de vulnerabilidades

Introducción

COROS se compromete a proteger la seguridad y la privacidad de sus productos, software, servicios y usuarios. Esta política explica cómo los investigadores de seguridad y otros miembros del público pueden informar a COROS sobre posibles vulnerabilidades de seguridad y qué pueden esperar después de enviar un informe.

Esta política se aplica a nivel mundial y abarca las vulnerabilidades de seguridad o privacidad de los dispositivos de la marca COROS, el firmware, la aplicación COROS, Training Hub, los sitios web, las API, los servicios en la nube y el software relacionado. Cualquier persona puede utilizar este canal para informar sobre vulnerabilidades, independientemente de su país o región, sin perjuicio de la legislación local de obligado cumplimiento que resulte aplicable.

Lee esta política en su totalidad antes de realizar investigaciones de seguridad o enviar un informe y asegúrate de cumplir sus requisitos. Las distintas versiones lingüísticas deben mantener la coherencia entre sí. Cuando la legislación local exija una versión en el idioma correspondiente o información adicional, COROS proporcionará dicha versión o la información complementaria necesaria.

COROS agradece el tiempo y el esfuerzo que los investigadores de seguridad dedican a comunicar vulnerabilidades de manera responsable.

Alcance

Esta política abarca los sitios web y dominios oficiales propiedad de COROS o bajo su control, la aplicación COROS, Training Hub, las API, los servicios en la nube, así como los relojes COROS, ciclocomputadores, sensores, accesorios conectados, firmware y software relacionado que todavía se encuentren dentro de su período de soporte de seguridad.

Quedan fuera del alcance de esta política los productos, sitios web o servicios de terceros, así como los sistemas y recursos que no estén autorizados o controlados por COROS. COROS no ofrece garantías sobre la seguridad, precisión o fiabilidad de los productos, sitios web o servicios de terceros.

Si tienes dudas sobre si un producto, servicio, dominio o actividad de prueba está incluido en el alcance de esta política, ponte en contacto con nosotros a través de product-security@coros.com antes de realizar cualquier prueba.

Cómo informar sobre una vulnerabilidad

Si crees que un dispositivo, aplicación, sitio web, API, servicio en la nube o producto relacionado de COROS presenta una vulnerabilidad de seguridad o privacidad, envía un informe a product-security@coros.com.

Incluye la siguiente información en tu informe:

• El producto, modelo, versión de software o firmware, sitio web, API o servicio afectado.
• Un título claro y una descripción técnica de la vulnerabilidad.
• El impacto en la seguridad y las acciones que podría llevar a cabo un atacante.
• Instrucciones detalladas para reproducir el problema de buena fe y sin causar daños.
• Una prueba de concepto, registros, capturas de pantalla u otros archivos de apoyo, cuando corresponda.
• Posibles sugerencias para mitigar o solucionar el problema, si las hubiera.
• Tu nombre y datos de contacto si deseas que nos pongamos en contacto contigo o reconozcamos tu contribución. Los datos de contacto son opcionales, salvo que quieras recibir actualizaciones sobre el estado del informe.

Requisitos para la investigación de seguridad

Al realizar investigaciones de seguridad, debes cumplir los siguientes requisitos:

• Utiliza únicamente cuentas, productos y datos que sean de tu propiedad o para los que tengas autorización expresa para realizar pruebas.
• Limita las pruebas a las acciones mínimas necesarias para confirmar la vulnerabilidad.
• Evita vulnerar la privacidad, deteriorar la calidad del servicio o interrumpir el funcionamiento de los sistemas en producción.
• Si encuentras datos personales, información confidencial, credenciales u otra información sensible, detén las pruebas inmediatamente y notifícalo a COROS.
• Elimina cualquier información sensible obtenida durante las pruebas tan pronto como sea razonablemente posible y no la compartas con terceros.

Quedan prohibidas las siguientes actividades:

• Incumplir cualquier ley o normativa aplicable.
• Acceder, descargar, conservar o divulgar datos más allá de lo estrictamente necesario para demostrar el problema.
• Modificar o eliminar datos de los sistemas o servicios de COROS.
• Realizar pruebas de denegación de servicio, análisis automatizados a gran escala, envío de spam, ingeniería social, phishing o ataques físicos.
• Establecer accesos persistentes, extraer datos, utilizar un sistema comprometido para atacar otros sistemas o interferir en los productos o servicios de COROS.
• Divulgar públicamente una vulnerabilidad antes de que COROS confirme que se ha completado su solución o autorice su divulgación por escrito.

Qué puedes esperar

COROS confirmará la recepción de un informe de vulnerabilidad en un plazo de 3 días laborables y tiene previsto completar la evaluación inicial y el análisis técnico en un plazo de 15 días laborables.

En el caso de problemas de seguridad o privacidad confirmados, COROS tiene como objetivo proporcionar una solución o una medida de mitigación adecuada en un plazo de 90 días desde su confirmación. Si se necesita más tiempo debido al alcance del impacto, los riesgos asociados a la solución, las dependencias de terceros u otros motivos razonables, informaremos a la persona que haya enviado el informe sobre los avances realizados.

Proporcionaremos una actualización del estado al menos cada 30 días hasta que el informe se resuelva o se cierre. Las prioridades y los plazos de resolución se determinarán en función del impacto, la gravedad, la facilidad de explotación, los productos afectados y la disponibilidad de soluciones de seguridad.

Podemos solicitar información adicional, invitar a la persona que haya enviado el informe a verificar una solución o enviar una notificación una vez resuelto el problema. Los informes también podrán cerrarse si están duplicados, son meramente informativos, quedan fuera del alcance de esta política, no son aplicables o si no es posible reproducir el problema comunicado. Cuando corresponda, explicaremos el motivo.

Divulgación coordinada

Coordina cualquier divulgación pública con COROS. Una vez solucionado el problema, puedes solicitar la publicación de tu informe. COROS colaborará contigo para acordar el momento y el contenido adecuados para su divulgación, con el fin de que los usuarios afectados reciban información clara y coherente.

Ver los avisos de seguridad publicados sobre vulnerabilidades →

Políticas relacionadas

Para consultar los períodos mínimos de soporte de actualizaciones de seguridad de cada producto y software, consulta la Política global de soporte de actualizaciones de seguridad de productos de COROS: Soporte de actualizaciones de seguridad de productos →

Primera publicación: 10 de abril de 2024

Última actualización: 29 de septiembre de 2026