Sicherheitsupdates und Schwachstellen
Wie lange die Komponenten dieses Hauses Sicherheitsupdates erhalten, wo Sie von einer Lücke erfahren, wie Sie selbst eine melden – und wie wir eine Meldung bis zum Sicherheitshinweis bearbeiten.
Was Sie erwarten können
| Frage | Antwort |
|---|---|
| Wie lange gibt es Sicherheitsupdates? | Fünf Jahre ab der Veröffentlichung einer Komponente. |
| In welcher Fassung kommt eine Korrektur? | In der jeweils aktuellen Fassung der Komponente. Wer eine frühere Fassung erworben hat, erhält die aktuelle kostenlos. |
| Wo erfahre ich von einer Lücke? | Im Abschnitt Sicherheitshinweise der Seite Schwachstellen melden: betroffene Komponente und Fassungen, Auswirkung, Abhilfe und die korrigierte Fassung. |
| Wie spiele ich die Korrektur ein? | Wie jede neue Fassung: Eine Komponente aktualisieren. |
| Wie melde ich eine Lücke? | Über das Formular auf Schwachstellen melden. Kontakt und Richtlinie stehen maschinenlesbar unter /.well-known/security.txt. |
Wie wir eine Meldung bearbeiten
- Eingang. Die Meldung erhält eine Kennung (
SR-…) und geht per E-Mail an alle Administratoren von www.wvds.it. Gespeichert wird sie dort nicht. - Erfassung. Die Meldung wird unter ihrer Kennung als nicht öffentliches Arbeitselement im Projekt der Komponenten angelegt. Dort stehen Bewertung, Entscheidungen und Korrektur.
- Bestätigung. Hat der Melder eine Adresse angegeben, bestätigen wir den Eingang innerhalb von 10 Arbeitstagen.
- Bewertung. Betroffene Komponenten und Fassungen, Schwere und Auswirkung, ob die Lücke bereits ausgenutzt wird.
- Fremde Bestandteile. Liegt die Lücke in einer mitgelieferten Bibliothek oder einem anderen fremden Bestandteil, melden wir sie auch dessen Hersteller oder Betreuer, zusammen mit unserer Korrektur, wenn es eine gibt.
- Korrektur. In der aktuellen Fassung, auf dem gewöhnlichen Weg jeder Änderung: Zweig, Tests, Prüfung, Zusammenführung, Freigabe.
- Sicherheitshinweis. Sobald die korrigierte Fassung verfügbar ist, auf Schwachstellen melden und den Sprachfassungen der Seite. Spätestens 90 Tage nach der Meldung wird die Lücke bekannt gemacht, auch ohne Korrektur – es sei denn, mit dem Melder ist eine andere Frist vereinbart.
Ausgenutzte Schwachstellen und schwere Vorfälle
Wird eine Lücke nachweislich ausgenutzt oder trifft ein schwerer Vorfall die Sicherheit einer Komponente, gelten zusätzlich die Meldepflichten nach Art. 14 der EU-Verordnung über Cyberresilienz (seit 11. September 2026). Hersteller und meldepflichtig ist die EMSR DATA d.o.o. Gemeldet wird über die einheitliche Meldeplattform der ENISA an den als Koordinator benannten CSIRT Sloweniens, SI-CERT.
| Meldung | Ausgenutzte Schwachstelle | Schwerer Vorfall |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden, nachdem wir davon erfahren | innerhalb von 24 Stunden, nachdem wir davon erfahren |
| Meldung mit ersten Angaben und Abhilfen | innerhalb von 72 Stunden | innerhalb von 72 Stunden |
| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur oder Abhilfe verfügbar ist | innerhalb eines Monats nach der Meldung |
Die betroffenen Betreiber informieren wir mit einem Sicherheitshinweis, der beschreibt, was sie selbst zur Abhilfe tun können.
Regelmäßige Sicherheitsprüfung
- Vor jeder Freigabe einer Komponente für den Kanal
stable: statische Analyse, Tests und der Prüfkatalog nach CWE für die geänderten Teile. - Einmal im Jahr eine vollständige Prüfung aller Komponenten nach demselben Katalog.
Was eine Prüfung findet, wird wie eine Meldung von außen bearbeitet.
Fremder Code
Was eine Komponente aus fremder Quelle mitliefert – etwa eine JavaScript-Bibliothek –, ist in ihrem Manifest wkcomponent.json unter thirdParty erklärt: Name, Fassung, Paketkennung (pkg:npm/…@…), Lizenz und Ablageort. Hat das Haus eine solche Bibliothek geändert, steht die Änderung dabei.
- Stückliste. Jedes Paket enthält daraus eine Stückliste (SBOM) im Format CycloneDX:
sbom/<Komponente>.cdx.json. Eine geänderte Bibliothek erscheint dort mit ihrer Änderung, nicht als unveränderte Fassung des Herstellers. - Prüfung vor jeder Auslieferung. Bevor ein Paket entsteht und bevor eine Komponente auf www.wvds.it eingespielt wird, wird jede erklärte Bibliothek in der Schwachstellendatenbank OSV nachgeschlagen. Eine bekannte Schwachstelle hält Paket und Einspielung an – ebenso eine Prüfung, die keine Antwort bekommt. Das Ergebnis liegt im Paket unter
sbom/vulnerabilities.json. - Grenze. Geprüft wird, was erklärt ist. Eine neue fremde Bibliothek wird deshalb mit ihrer Aufnahme ins Manifest eingetragen; ein Eintrag ohne Paketkennung mit Fassung wird abgewiesen.
Grundlage des Unterstützungszeitraums
Fünf Jahre sind die Mindestdauer, die die Verordnung über Cyberresilienz vorsieht (Art. 13 Abs. 8). Eine DokuWiki-Installation wird gewöhnlich über Jahre betrieben; weil Korrekturen in der aktuellen Fassung erscheinen und diese für frühere Erwerber kostenlos ist (Art. 13 Abs. 10), deckt der Zeitraum auch Installationen ab, die eine ältere Fassung erworben haben. Jedes Sicherheitsupdate bleibt mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums verfügbar, je nachdem, was länger ist (Art. 13 Abs. 9); die Freigaben liegen dauerhaft in den Repositorien der Komponenten.