Kwesbaarhede en beloning

Ons betaal wel beloning vir ontdekte kwesbaarhede of sekuriteitsverwante kwessies. Om betaal te word, moet die volgende waar wees.

#1 Die kwesbaarheid moet uniek wees 
As ons verskeie verslae ontvang, sal die eerste persoon wat dit rapporteer die beloning kry. Ons mag, na ons goeddunke, nominale sekondêre kennisgewingfooie uitbetaal om toekomstige ontdekkings aan te moedig.

#2 Die kwesbaarheid moet reproduseerbaar wees
Ons sal nie betaal vir enige kwesbaarheid wat nie gereproduseer kan word nie. Ons sal nie beloning uitbetaal vir YouTube-video's wat 'n kwesbaarheid demonstreer wat nie gereproduseer kan word nie.

#3 Moet 'n aanvalscenario hê
Die aanval moet verspreidingsvermoë deur ons stelsels hê. Verduidelik asseblief die verspreidingsvermoë. Byvoorbeeld, om ons API te benut en dan kwaadwillige skrips te skryf, sal nie tel nie, aangesien dit niks anders sou wees as om bloot 'n bladsy met kwaadwillige skrips te skryf nie.
 

Hoe beloningsbedrae bepaal word

Elke kategorie hierbo het 'n uitbetalingsreeks. Waar 'n geldige verslag binne sy reeks val, hang af van drie faktore:

Voorreg wat nodig is om uit te buit. Foute sonder verifikasie val aan die bokant van die reeks. Foute wat 'n geverifieerde gebruiker vereis, val in die middel. Foute wat 'n bevoorregte konteks vereis (spanadministrateur, spaneienaar, betaalde plan, interne personeel) val aan die onderkant.

Impakreikwydte. Kwesbaarhede wat elke gebruiker of elke kaart raak, betaal meer as kwesbaarhede wat 'n enkele rekening of 'n enkele span raak aan wie die aanvaller reeds behoort.

Omkeerbaarheid. Skade wat die geraakte gebruiker deur normale werkvloeie kan ongedaan maak (byvoorbeeld 'n wagwoordterugstelling) betaal minder as skade wat voortduur of wat ons ingryping vereis om ongedaan te maak.

Verslagkwaliteit speel ook 'n rol. 'n Duidelike skrywe met 'n werkende bewys van konsep, grondoorsaakontleding en 'n voorstel vir regstelling kan die bokant van die reeks verdien, selfs wanneer tegniese impak alleen in die middel sou val. Slordige of spekulatiewe verslae kan die onderkant verdien.

Buite omvang

Die volgende kwalifiseer nie vir 'n beloning nie:

Anonieme gemeenskapkaarte. Kaarte sonder 'n eienaar wat deur enigiemand gewysig kan word, is 'n langdurige gemeenskapskenmerk. Om oor 'n anonieme kaart te stoor, is nie 'n kwesbaarheid nie.

Ongelyste (URL-as-geloofsbrief) kaarte. Kaarte sonder LockView is doelbewus toeganklik vir enigiemand wat die URL ken, soortgelyk aan 'n ongelyste YouTube-video. Om toegang tot so 'n kaart te kry of dit te stoor deur sy kaartkode te ken, is by ontwerp.

Derdeparty-sagteware wat ons huisves maar nie onderhou nie. Kwessies in GeoServer, Tomcat of ander derdeparty-stapels wat saam met ons dienste ontplooi is. Rapporteer dit asseblief aan die onderskeie stroomop-onderhouers.

Ontbrekende sekuriteitshoofde sonder 'n konkrete aanvalscenario. Verslae oor CSP, X-Frame-Options, HSTS, ens. sonder 'n werkende uitbuiting kwalifiseer nie.

Tempobeperking in isolasie. Gebrek aan tempobeperking op eindpunte waar tempobeperking nie sekuriteitskritiek is nie, sonder 'n gedemonstreerde misbruikscenario.

KI-gebruik

Ons gebruik KI om aanvanklike validering vir triage te doen. Dit maak soms foute; ons doen menslike hersienings op elkeen, maar as jy dink die KI het aanvanklik 'n groot fout gemaak, voeg 'n nota by die indiening met verdere konteks, ens..compromise any

Burp-gebruik / Eindpunte

Ons gebruik gereedskap soos Burp vir vinnige skanderings. Ons verkies oor die algemeen dat jy nie hierdie skanderings op ons doen nie, aangesien duisende versoeke net onnodige las op ons bedieners plaas. 

Om jou tyd te bespaar, is hier 'n paar eindpunte: 

https://www.scribblemaps.com/ 
(As jy 'n skandering doen, blokkeer die /maps/-pad, aangesien dit skandeerders in 'n konynehol sal stuur) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Betalings

Daar is geen waarborge oor betalingstydlyne nie. Ons ken 'n maandelikse begroting toe, en ernstige kwessies word altyd eerste betaal. Ons doen slegs betalings via Wise of PayPal.
 

Verbeuring van beloning

Die validering of aanvaarding van 'n verslag vestig geskiktheid vir 'n beloning, nie 'n onvoorwaardelike aanspraak daarop nie. ScribbleMaps kan 'n beloning geheel of gedeeltelik verminder of weerhou wanneer 'n navorser se gedrag hierdie voorwaardes of die beginsels van goeie trou gekoördineerde openbaarmaking oortree. Verbeuring is na ScribbleMaps se goeddunke; die rede word op die verslag aangeteken en aan die navorser gekommunikeer.

'n Beloning wat andersins betaalbaar sou wees, kan vir enige van die volgende verbeur word:

1. Voortydige of gedreigde openbare openbaarmaking. Die kwesbaarheid openbaar maak — of dreig om dit openbaar te maak — in die openbaar, aan derde partye, of deur media-/sosialekanale voordat ScribbleMaps die kwessie reggestel en openbaarmaking gemagtig het. Gekoördineerde openbaarmaking is 'n voorwaarde van die program.
2. Dwang, afpersing of teistering. Nie-openbaarmaking aan betaling koppel; personeel dreig of onder druk plaas; of ondersteunings-, faktuur- of verslaggewerkanale gebruik om herhaaldelik of op 'n beledigende wyse betaling te eis. Vrae oor beloningstatus moet deur die beloningsportaal gerig word, wat ScribbleMaps sal beantwoord.
3. Veelvuldige of duplikaat-identiteite. Meer as een navorserrekening bedryf, of beloning vir afsonderlike rekeninge na 'n gedeelde betaaladres roeteer, om indieningsvolume of beloning op te blaas.
4. Samespanning of vervaardigde bevindinge. Indienings oor rekeninge koördineer, 'n ander deelnemer se rekening of kaarte as die “slagoffer” in 'n bewys van konsep gebruik, of 'n datatoestand vervaardig wat die produk nie kan lewer nie en dan die resulterende data as 'n lek aanhaal.
5. Lae-moeite of outomatiese strooipos. Grootmaat-indienings van outomatiese skandeerderuitset, verouderde-biblioteek-/CVE-lyste, of bekende items buite omvang (sien Buite omvang) sonder 'n gedemonstreerde, ScribbleMaps-spesifieke uitbuiting.
6. Skadelike of onwettige toetsing. Toegang tot, wysiging of onttrekking van ander gebruikers se data buite die minimum wat nodig is om die kwessie te demonstreer; diens verswak of weier; sosiale ingenieurswese teen personeel of gebruikers; of enige aktiwiteit wat deur die programomvang of toepaslike wetgewing verbied word.
7. Wanvoorstelling of bedrog. Reproduksiestappe, bewyse, ontdekkingsdatums of identiteit vervals.

Notas.

• Verbeuring kan gedeeltelik (’n verminderde beloning) of volledig ($0) wees.
• 'n Gevalideerde verslag wat weens wangedrag verbeur word, is nie weer geskik vir dieselfde bevinding nie.
• Hierdie voorwaardes geld vanaf die oomblik van indiening en word herhaal in die aanvaardingskennisgewing wat gestuur word wanneer 'n verslag aanvaar word.

Om 'n verslag in te dien

Besoek asseblief: https://api.scribblemaps.com/vulnerabilities

Die webwerf bevat ook instruksies oor hoe om verslae via KI in te dien. Jy moet aanmeld om 'n verslag in te dien.

Regspunte

Ons kan nie belonings aan individue uitreik wat op sanksielyste is nie, of wat in lande (bv. Kuba, Iran, Noord-Korea, Soedan en Sirië) op sanksielyste is. Jy is verantwoordelik vir enige belastingimplikasies, afhangend van jou land van verblyf en burgerskap. Daar mag bykomende beperkings op jou vermoë om deel te neem wees, afhangend van jou plaaslike wetgewing.

Dit is nie 'n kompetisie nie, maar eerder 'n eksperimentele en diskresionêre beloningsprogram. Jy moet verstaan dat ons die program te eniger tyd kan kanselleer, en dat die besluit of 'n beloning betaal word al dan nie, geheel en al na ons goeddunke is.

Natuurlik mag jou toetsing nie enige wet oortree of data wat nie jou eie is nie, ontwrig of in gevaar stel nie.