Contattare i clienti di software vulnerabili, è sbagliato?

Ci sono modi migliori.

Se la tua intenzione è quella di informare i clienti per scopi puramente altruistici (e / o, per fare pressioni sul fornitore per la correzione, indipendentemente dal fatto che tu riceva o meno benefici finanziari), allora ci sono altre strade che puoi esplorare.

Potresti, per esempio, contattare il tuo CERT locale, o il CERT che ritieni possa spingere il fornitore a rimediare (per gli Stati Uniti, vedi link ).

Puoi anche richiedere un CVE ( link ) per rendere pubblica la vulnerabilità, non solo nota ai clienti esistenti.

Ci sono probabilmente un sacco di altre opzioni, ma quelle sono (si spera) un ragionevole punto di partenza.

Considera anche che questi forniscono una sorta di revisione tra pari, per assicurarti di avere ciò che pensi di avere.

Se intendi contattare i clienti a scopo di lucro, la domanda su come sai chi sono diventerà saliente, e verrebbe probabilmente considerata una chiamata a freddo, che tramite e-mail (o altri mezzi) potrebbe avere conseguenze, ad esempio relative a CAN-SPAM se si è Stati Uniti.

Non sono un avvocato, ma questo sembra un po 'traballante.

E il venditore non è disposto a sentirsi cordialmente nei tuoi confronti se lo scoprono.

Se davvero non ti interessa dell'etica, ci sono mercati di vulnerabilità privati che potresti prendere in considerazione. Questo non porterà a nessuna soluzione, ma lo sfruttamento del bug e personalmente, non mi sentirei la strada da percorrere.

Fondamentalmente: se il venditore non ti sta pagando per un vuln, allora penso (e questo è puramente un'opinione) che un rapporto pubblico li renderà più propensi a farlo in futuro.

Più vicino a casa, puoi anche controllare Come divulgare una vulnerabilità di sicurezza in modo etico?

As long as the bug really does exist and you're not scaring customers for nothing, and the vendor is [...] not willing to pay you for it's disclosure, would this be wrong to do?

Bene, pensaci, se pubblichi exploit al pubblico senza cooperazione tra venditori, sei praticamente un cracker giusto? Aspettatevi di essere notificati con una causa e ogni fase di come avete ottenuto la conoscenza del bug da sottoporre al microscopio per le violazioni della CFAA, del DMCA e dei termini dell'EULA che accompagnano il software. E vinci su tutti questi punti, congratulazioni, sei solo alcuni $ 150k di spese per la difesa legale da dove hai iniziato.