Sårbarhetshantering

Gäller Windows-programmet Privera, licensservern licens.privera.se och webbplatsen privera.se. Den som vill rapportera en sårbarhet hittar samma regler i kort form på privera.se/security/sarbarheter/. Incidenter och rapportering till myndigheter beskrivs i Incidentrutin.

1. Läget i korthet

2. Mottagning

Rapporter tas emot på [email protected]. Telefon 076 926 35 70 kan användas för att påskynda ett ärende men besvaras i mån av möjlighet.

Rapporter som kommer in via [email protected] eller [email protected], via en kund eller via en leverantör (till exempel en säkerhetsnotis om Electron eller Tesseract) förs över till samma ärendegång.

Vid mottagning:

1. Mottagandet bekräftas till rapportören inom 2 arbetsdagar.
2. Ärendet får ett id och en ärendelogg: mottaget, bedömning, beslut, åtgärd, version och kommunikation. Verkliga personuppgifter och kunddokument läggs aldrig i loggen.
3. Innehåller rapporten verkliga dokument ber vi om en reproduktion med påhittade uppgifter. Itha AB tar inte emot kunders dokument i ett säkerhetsärende, utom efter ett särskilt personuppgiftsbiträdesavtal för felsökning, se Underleverantörer avsnitt 1.

Inkorgen bevakas helgfria vardagar. Det finns ingen jour dygnet runt, och säkerhetsärenden hanteras i dag av en person.

3. Bedömning

Första bedömning görs inom 5 arbetsdagar från mottagandet. Bedömningen svarar på:

• Går felet att återskapa i den senaste versionen? Bara den senaste versionen lämnas ut i uppdateringskanalen.
• Vilka delar berörs: programmet, uppdateringskedjan, licensservern eller webben?
• Är sårbarheten aktivt utnyttjad? Då gäller rapporteringen enligt CRA artikel 14 direkt, oavsett poäng.
• CVSS-poäng, med CVSS v4.0 eller v3.1 om rapportören angett den. Poäng och vektor skrivs in i ärendeloggen.

Allvarlighetsgrader

En exporterad fil som innehåller en uppgift som programmet har markerat som maskerad räknas alltid som minst Hög, även om CVSS-poängen blir lägre. Det är den skada produkten finns för att förhindra.

Det här är inte en sårbarhet: att den automatiska detektionen missar en uppgift som användaren aldrig markerade. Detektionen hittar inte allt, och dokumentet ska alltid granskas före export. Sådana fel hanteras som kvalitetsfel.

4. Tidsramar för åtgärd

Tidsramarna är fastställda 2026-10-23. De räknas från att bedömningen är klar. Åtgärd betyder en rättad version i uppdateringskanalen eller, om det inte går i tid, en publicerad skyddsåtgärd som minskar risken.

Kan en tidsram inte hållas meddelas rapportören och, för Kritisk och Hög, berörda kunder med skäl och ny tidpunkt.

Sårbarheter i tredjepartskomponenter (Electron och Chromium, Python-paket, Tesseract med bibliotek, språkmodellen) bedöms på samma sätt, efter hur de kan nås i Privera.

Före varje version med en säkerhetsrättning körs de ordinarie releasekontrollerna, och ett regressionstest för felet läggs till.

5. Leverans av rättningar

• Rättningar levereras som en ny version i den ordinarie uppdateringskanalen. Programmet hämtar uppdateringen i bakgrunden och installerar den när användaren väljer det eller vid nästa avslut.
• Uppdateringar lämnas bara ut till licenser som har rätt att köra programmet: provperiod, aktivt abonnemang, uppsagt abonnemang med betald period kvar och misslyckad kortdragning medan betalningen försöks igen. I samtliga fall gäller det till periodens slut plus 3 dagar. Uppsagda, obetalda, pausade och utgångna licenser får inga uppdateringar, inte heller säkerhetsrättningar. Programmet bearbetar inga dokument utan giltig licens.
• Undantag: när Itha AB har publicerat ett avvecklingsbesked lämnas slutversionen ut till varje känd licens, också uppsagda. Se Avvecklingsläge.
• Installer och uppdateringar är signerade av Itha AB. Programmet kontrollerar SHA-512 och signaturen före installation. Från 0.9.0-beta22 kräver kontrollen Itha AB:s hela utgivarnamn och den version som uppdateringsmanifestet angav, och den är stängd vid fel: kan äktheten inte kontrolleras, till exempel för att Windows PowerShell är spärrat, installeras uppdateringen inte, och programmet säger det under Om Privera. Se IT-drift avsnitt 5. I 0.9.0-beta21 och äldre jämförde kontrollen bara certifikatets namn (CN) och hoppades över där PowerShell inte kunde köras.
• Kunder som blockerar automatiska uppdateringar eller sällan är uppkopplade kan hämta den nya installern på privera.se/download/ med sin licensnyckel, under samma villkor som ovan.
• Det finns en uppdateringskanal. Separata säkerhetsuppdateringar utan funktionsändringar finns inte i dag. När en rättning inte kan vänta på nästa planerade version ges en separat version ut.
• I avvecklingsläge hämtar programmet inga uppdateringar. Rättningar efter en avveckling kan bara nå kunden som en ny installer: via privera.se/download/ så länge licensservern finns, och därefter med e-post eller på annat sätt som Itha AB eller en konkursförvaltare ordnar.
• Itha AB kan inte se vilken version en kund kör. Licensservern registrerar vilka licenser som har hämtat en viss installationsfil, men inte vilken version som körs.

Säkerhetsuppdateringar ingår i abonnemanget utan extra kostnad. Supportperioden beskrivs i Livscykel och support.

6. Samordnat röjande

• Rapportören får besked om bedömningen och om planerad tidpunkt för rättning.
• Vi publicerar inga detaljer förrän en rättning finns eller 90 dagar har gått från mottagandet, beroende på vad som kommer först. Tidpunkten kan ändras i samråd med rapportören, till exempel om en rättning är nära eller om sårbarheten redan är känd.
• Rapportören nämns i säkerhetsmeddelandet om hen vill.
• Det finns inget belöningsprogram.
• Den som i god tro söker och rapporterar sårbarheter enligt policyn polisanmäls inte av Itha AB. Policyn tillåter inte test mot andra kunders licenser eller data, överbelastning av licens.privera.se, social manipulation eller test med verkliga personuppgifter.
• Berör en sårbarhet en tredjepartskomponent meddelar vi även komponentens förvaltare, enligt CRA artikel 13.6.
• Itha AB är inte CVE-utfärdare (CNA). Vid behov begärs CVE via MITRE. Ingen CVE har begärts hittills.

7. Säkerhetsmeddelanden

Ett säkerhetsmeddelande ges ut för varje rättad sårbarhet av grad Medel eller högre och för varje aktivt utnyttjad sårbarhet.

Meddelandet innehåller id, datum, berörda versioner, rättad version, allvarlighetsgrad och CVSS-vektor, en kort beskrivning utan utnyttjandedetaljer före rättning, vad kunden ska göra (till exempel installera en viss version eller kontrollera tidigare exporterade filer) och tack till rapportören.

Kanaler:

1. privera.se/security/sarbarheter/, listan över publicerade säkerhetsmeddelanden.
2. E-post till den adress som angavs vid köpet och till kontaktpersonen i avtalet, när ett avtal finns.

Andra kanaler finns inte. Programmet visar inga säkerhetsmeddelanden, och det finns inga publicerade versionsanteckningar för de aktuella versionerna.

Kan en sårbarhet ha gjort att tidigare exporterade filer innehåller kvarvarande personuppgifter säger meddelandet det tydligt och beskriver hur kunden kan kontrollera filerna. Kunden är personuppgiftsansvarig för dokumenten och avgör själv om det är en personuppgiftsincident hos kunden.

8. Rapportering enligt CRA

Sedan 2026-09-11 ska tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar produktens säkerhet, enligt förordning (EU) 2024/2847 artikel 14: tidig varning inom 24 timmar, anmälan inom 72 timmar och slutrapport senast 14 dagar efter att en rättning eller skyddsåtgärd finns. För allvarliga incidenter lämnas slutrapporten inom en månad efter anmälan. Rapporten lämnas i ENISA:s gemensamma rapporteringsplattform och går till CERT-SE. Berörda användare ska informeras.

Fristerna gäller alla dagar i veckan. Inkorgen bevakas helgfria vardagar och det finns ingen jour eller ersättare, så Itha AB kan inte garantera att en rapport som kommer in på en helg eller helgdag blir läst och rapporterad inom 24 timmar.

Hur det görs steg för steg står i Incidentrutin.

9. Det som återstår

• En utsedd ersättare för säkerhetsärenden, och bevakning av inkorgen även på helger.
• Automatisk bevakning av sårbarheter i beroenden i CI (npm audit, pip-audit, Dependabot), också för motorns Python-paket och OCR-motorns bibliotek.
• Sårbarhetsskanning mot SBOM:en, och licensservern i SBOM:en.
• Övning av incidentrutinen.