Уязвимости и награди

Плащаме награди за открити уязвимости или проблеми, свързани със сигурността. За да получите плащане, трябва да са изпълнени следните условия.

#1 Уязвимостта трябва да е уникална 
Ако получим няколко доклада, първият докладвал ще получи наградата. Можем да изплатим, по наша преценка, номинални вторични такси за уведомяване, за да насърчим бъдещи открития.

#2 Уязвимостта трябва да е възпроизводима
Няма да плащаме за уязвимост, която не може да бъде възпроизведена. Няма да изплащаме награди за видеа в YouTube, които демонстрират уязвимост, която не може да бъде възпроизведена.

#3 Трябва да има сценарий на атака
Атаката трябва да има възможност за разпространение чрез нашите системи. Моля, обяснете възможността за разпространение. Например използването на нашия API и след това писането на злонамерени скриптове няма да се счита, тъй като това не се различава от това просто да напишете страница със злонамерени скриптове.
 

Как се определят размерите на наградите

Всяка категория по-горе има диапазон на изплащане. Къде в този диапазон попада един валиден доклад зависи от три фактора:

Необходими привилегии за експлоатация. Грешките, които не изискват автентикация, попадат в горния край на диапазона. Грешките, които изискват автентикиран потребител, попадат в средата. Грешките, които изискват привилегирован контекст (администратор на екип, собственик на екип, платен план, вътрешен персонал), попадат в долния край.

Обхват на въздействието. Уязвимостите, засягащи всеки потребител или всяка карта, се възнаграждават повече от уязвимостите, засягащи един акаунт или един екип, към който нападателят вече принадлежи.

Обратимост. Вредата, която засегнатият потребител може да отстрани чрез нормални процедури (например нулиране на парола), се възнаграждава по-малко от вреда, която е трайна или изисква наша намеса, за да бъде отстранена.

Качеството на доклада също има значение. Ясно описание с работещо доказателство за концепцията, анализ на първопричината и предложение за отстраняване може да достигне горния край на диапазона, дори когато само техническото въздействие би попаднало в средата. Небрежните или спекулативни доклади може да получат долния край.

Извън обхвата

Следните неща не отговарят на условията за награда:

Анонимни обществени карти. Картите без собственик, които могат да се редактират от всеки, са отдавнашна функция на общността. Презаписването на анонимна карта не е уязвимост.

Скрити от списъка карти (URL като идентификационни данни). Картите без LockView са умишлено достъпни за всеки, който знае URL адреса, подобно на скрито от списъка видео в YouTube. Достъпът или запазването на такава карта чрез знание на нейния код е по дизайн.

Софтуер на трети страни, който хостваме, но не поддържаме. Проблеми в GeoServer, Tomcat или други стекове на трети страни, внедрени заедно с нашите услуги. Моля, докладвайте ги на съответните основни разработчици.

Липсващи заглавки за сигурност без конкретен сценарий на атака. Докладите за CSP, X-Frame-Options, HSTS и т.н. без работеща експлоатация не отговарят на условията.

Ограничаване на честотата изолирано. Липса на ограничаване на честотата при крайни точки, където то не е критично за сигурността, без демонстриран сценарий на злоупотреба.

Използване на ИИ

Използваме ИИ за първоначална валидация при сортирането. Понякога допуска грешки; правим човешки преглед на всеки доклад, но ако смятате, че ИИ е допуснал голяма грешка първоначално, добавете бележка към подадения доклад с допълнителен контекст и т.н..compromise any

Използване на Burp / Крайни точки

Използваме инструменти като Burp за бързо сканиране. Обикновено предпочитаме да не правите такива сканирания върху нас, тъй като хиляди заявки просто създават излишно натоварване на нашите сървъри. 

За да ви спестим малко време, ето някои крайни точки: 

https://www.scribblemaps.com/ 
(Ако правите сканиране, блокирайте пътя /maps/, тъй като той ще заблуди скенерите) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Плащания

Няма гаранции за сроковете на плащане. Отделяме месечен бюджет, като сериозните проблеми винаги се плащат първи. Извършваме плащания само чрез Wise или PayPal.
 

Загуба на право на награда

Валидирането или приемането на доклад установява допустимост за награда, а не безусловно право на такава. ScribbleMaps може да намали или задържи награда изцяло или отчасти, когато поведението на изследователя нарушава тези условия или принципите на координираното разкриване при добросъвестност. Загубата на право на награда е по преценка на ScribbleMaps; причината се записва в доклада и се съобщава на изследователя.

Награда, която иначе би била дължима, може да бъде отнета по някоя от следните причини:

1. Преждевременно или заплашено публично разкриване. Разкриване на уязвимостта — или заплаха за разкриването ѝ — публично, на трети страни или чрез медии/социални канали, преди ScribbleMaps да е отстранила проблема и да е разрешила разкриването. Координираното разкриване е условие на програмата.
2. Принуда, изнудване или тормоз. Поставяне на неразкриването в зависимост от плащане; заплашване или натиск върху персонала; или използване на каналите за поддръжка, таксуване или докладване за многократно или злоупотребяващо настояване за плащане. Въпроси за статуса на наградата трябва да се задават чрез портала за награди, на който ScribbleMaps ще отговаря.
3. Множество или дублиращи се самоличности. Управление на повече от един акаунт на изследовател или насочване на наградите за отделни акаунти към общ адрес за плащане, за да се завиши обемът на докладите или наградите.
4. Тайно споразумение или изфабрикувани открития. Координиране на доклади между акаунти, използване на акаунта или картите на друг участник като „жертва“ в доказателство за концепцията или изфабрикуване на състояние на данни, което продуктът не може да създаде, и след това позоваване на получените данни като на изтичане.
5. Нискокачествен или автоматизиран спам. Масово подаване на автоматизиран изход от скенери, списъци с остарели библиотеки/CVE или известни неща извън обхвата (вижте Извън обхвата) без демонстрирана експлоатация, специфична за ScribbleMaps.
6. Вредно или незаконно тестване. Достъп, промяна или изнасяне на данни на други потребители извън минимума, необходим за демонстриране на проблема; влошаване или отказ на услугата; социално инженерство спрямо персонал или потребители; или всякаква дейност, забранена от обхвата на програмата или приложимото законодателство.
7. Невярно представяне или измама. Фалшифициране на стъпките за възпроизвеждане, доказателствата, датите на откриване или самоличността.

Бележки.

• Загубата на право на награда може да бъде частична (намалена награда) или пълна ($0).
• Валидиран доклад, за който е отнета наградата поради неправомерно поведение, не отговаря повторно на условията за същото откритие.
• Тези условия важат от момента на подаване и са повторени в известието за приемане, изпращано при приемане на доклад.

Как да подадете доклад

Моля, посетете: https://api.scribblemaps.com/vulnerabilities

Сайтът включва и инструкции как да подавате доклади чрез ИИ. Трябва да влезете в профила си, за да подадете доклад.

Правни въпроси

Не можем да изплащаме награди на лица, които са в списъци със санкции или които се намират в държави (напр. Куба, Иран, Северна Корея, Судан и Сирия), включени в списъци със санкции. Вие носите отговорност за всякакви данъчни последици в зависимост от държавата ви на пребиваване и гражданство. Може да има допълнителни ограничения за участието ви в зависимост от местното законодателство.

Това не е състезание, а експериментална програма за награди, която е по преценка. Трябва да разбирате, че можем да прекратим програмата по всяко време, а решението дали да изплатим награда е изцяло по наша преценка.

Разбира се, тестването ви не трябва да нарушава никакъв закон, нито да нарушава или компрометира данни, които не са ваши.