Ranjivosti i nagrade

Isplaćujemo nagrade za otkrivene ranjivosti ili probleme vezane za sigurnost. Da biste dobili isplatu, sljedeće mora biti ispunjeno.

#1 Ranjivost mora biti jedinstvena 
Ako primimo više prijava, nagradu dobija prva prijava. Mi možemo, prema vlastitom nahođenju, isplatiti nominalne sekundarne naknade za obavijest kako bismo podstakli buduća otkrića.

#2 Ranjivost mora biti ponovljiva
Nećemo platiti nijednu ranjivost koja se ne može reproducirati. Nećemo isplaćivati nagrade za YouTube videozapise koji prikazuju ranjivost koja se ne može reproducirati.

#3 Mora postojati scenarij napada
Napad mora imati mogućnost distribucije kroz naše sisteme. Molimo objasnite mogućnost distribucije. Na primjer, korištenje našeg API-ja, a zatim pisanje zlonamjernih skripti ne bi se računalo jer to ne bi bilo ništa drugačije od pisanja stranice sa zlonamjernim skriptama.
 

Kako se određuju iznosi nagrada

Svaka gore navedena kategorija ima raspon isplate. Gdje će valjana prijava biti unutar tog raspona zavisi od tri faktora:

Privilegije potrebne za iskorištavanje. Greške bez autentifikacije nalaze se pri vrhu raspona. Greške koje zahtijevaju autentificiranog korisnika nalaze se u sredini. Greške koje zahtijevaju privilegirani kontekst (administrator tima, vlasnik tima, plaćeni plan, interno osoblje) nalaze se pri dnu.

Obim posljedica. Ranjivosti koje utiču na sve korisnike ili sve karte plaćaju se više od ranjivosti koje utiču na jedan račun ili jedan tim kojem napadač već pripada.

Mogućnost poništavanja. Šteta koju pogođeni korisnik može poništiti kroz uobičajene postupke (na primjer, resetiranje lozinke) plaća se manje od štete koja traje ili koja zahtijeva našu intervenciju da bi se poništila.

Kvalitet prijave takođe utiče na iznos. Jasan opis s funkcionalnim dokazom koncepta, analizom uzroka i prijedlogom otklanjanja može zaslužiti vrh raspona čak i kada bi sam tehnički uticaj završio u sredini. Aljkave ili spekulativne prijave mogu zaslužiti dno raspona.

Izvan opsega

Sljedeće nije prihvatljivo za nagradu:

Anonimne karte zajednice. Karte bez vlasnika koje svako može uređivati dugogodišnja su funkcija zajednice. Spremanje preko anonimne karte nije ranjivost.

Karte koje nisu na listi (URL kao vjerodajnica). Karte bez LockView namjerno su dostupne svakome ko zna URL, slično YouTube videozapisu koji nije na listi. Pristupanje takvoj karti ili njeno spremanje poznavanjem njenog koda karte je namjerno.

Softver trećih strana koji hostujemo, ali ne održavamo. Problemi u GeoServeru, Tomcatu ili drugim stekovima trećih strana postavljenim uz naše usluge. Molimo prijavite ih odgovarajućim održavaocima.

Nedostajuća sigurnosna zaglavlja bez konkretnog scenarija napada. Prijave o CSP, X-Frame-Options, HSTS itd. bez funkcionalnog exploita nisu prihvatljive.

Ograničavanje broja zahtjeva samo po sebi. Nedostatak ograničenja broja zahtjeva na endpointima gdje ono nije sigurnosno kritično, bez dokazanog scenarija zloupotrebe.

Upotreba AI-ja

Koristimo AI za početnu validaciju radi trijaže. Ponekad pravi greške, a mi radimo ljudski pregled svake prijave, međutim, ako smatrate da je AI na početku napravio veliku grešku, dodajte napomenu uz prijavu s dodatnim kontekstom itd..compromise any

Upotreba Burp-a / Endpointi

Koristimo alate poput Burp-a za brza skeniranja. Općenito preferiramo da ne radite ta skeniranja na nama jer slanje hiljada zahtjeva samo nepotrebno opterećuje naše servere. 

Da vam uštedimo malo vremena, evo nekoliko endpointa: 

https://www.scribblemaps.com/ 
(Ako radite skeniranje, blokirajte putanju /maps/ jer će to skenere poslati u beskonačnu petlju) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Isplate

Ne postoje garancije u pogledu rokova isplate. Izdvajamo mjesečni budžet, pri čemu se ozbiljni problemi uvijek plaćaju prvi. Isplate vršimo samo putem Wise-a ili PayPal-a.
 

Gubitak prava na nagradu

Validacija ili prihvatanje prijave uspostavlja prihvatljivost za nagradu, a ne bezuvjetno pravo na nju. ScribbleMaps može smanjiti ili uskratiti nagradu u cijelosti ili djelomično kada ponašanje istraživača krši ove uslove ili principe koordiniranog otkrivanja u dobroj vjeri. Gubitak prava na nagradu je prema nahođenju ScribbleMaps-a; razlog se bilježi uz prijavu i saopćava istraživaču.

Nagrada koja bi inače bila isplativa može biti izgubljena iz bilo kojeg od sljedećih razloga:

1. Prijevremeno ili prijeteće javno otkrivanje. Javno otkrivanje ranjivosti — ili prijetnja otkrivanjem — trećim stranama ili putem medija/društvenih kanala prije nego što je ScribbleMaps otklonio problem i odobrio otkrivanje. Koordinirano otkrivanje je uslov programa.
2. Prisila, iznuda ili uznemiravanje. Uslovljavanje neotkrivanja plaćanjem; prijetnje ili pritisak na osoblje; ili korištenje kanala podrške, naplate ili prijavitelja za ponovljene ili uvredljive zahtjeve za isplatu. Pitanja o statusu nagrade treba postaviti putem portala za nagrade, na koja će ScribbleMaps odgovoriti.
3. Više ili duplih identiteta. Upravljanje s više od jednog računa istraživača, ili usmjeravanje nagrada za odvojene račune na zajedničku adresu za plaćanje, radi povećanja broja prijava ili nagrada.
4. Dosluh ili izmišljeni nalazi. Koordiniranje prijava između računa, korištenje računa ili karata drugog učesnika kao „žrtve“ u dokazu koncepta, ili izmišljanje stanja podataka koje proizvod ne može proizvesti, a zatim navođenje tako dobivenih podataka kao curenja.
5. Nekvalitetni ili automatizirani spam. Grupno slanje izlaza automatiziranih skenera, lista zastarjelih biblioteka/CVE-ova ili poznatih stavki izvan opsega (pogledajte Izvan opsega) bez dokazanog exploita specifičnog za ScribbleMaps.
6. Štetno ili nezakonito testiranje. Pristupanje, mijenjanje ili preuzimanje podataka drugih korisnika preko minimuma potrebnog za demonstraciju problema; degradiranje ili onemogućavanje usluge; društveni inženjering osoblja ili korisnika; ili bilo koja aktivnost zabranjena opsegom programa ili važećim zakonom.
7. Lažno predstavljanje ili prevara. Falsificiranje koraka reprodukcije, dokaza, datuma otkrića ili identiteta.

Napomene.

• Gubitak prava na nagradu može biti djelomičan (smanjena nagrada) ili potpun ($0).
• Validirana prijava koja je izgubljena zbog nedoličnog ponašanja ne može se ponovo prijaviti za isti nalaz.
• Ovi uslovi važe od trenutka slanja i ponovo se navode u obavijesti o prihvatanju koja se šalje kada je prijava prihvaćena.

Slanje prijave

Molimo posjetite: https://api.scribblemaps.com/vulnerabilities

Stranica također sadrži upute o tome kako slati prijave putem AI-ja. Morate se prijaviti da biste poslali prijavu.

Pravne napomene

Ne možemo isplaćivati nagrade osobama koje se nalaze na listama sankcija, niti onima koji su u zemljama (npr. Kuba, Iran, Sjeverna Koreja, Sudan i Sirija) koje se nalaze na listama sankcija. Vi ste odgovorni za sve porezne implikacije u zavisnosti od zemlje vašeg prebivališta i državljanstva. Mogu postojati dodatna ograničenja vaše mogućnosti učešća u zavisnosti od lokalnog zakona.

Ovo nije takmičenje, već eksperimentalni program nagrađivanja prema vlastitom nahođenju. Trebate razumjeti da program možemo otkazati u bilo kojem trenutku, a odluka o tome hoće li se nagrada isplatiti ili ne mora biti u potpunosti prema našem nahođenju.

Naravno, vaše testiranje ne smije kršiti nijedan zakon, niti ometati ili kompromitirati podatke koji nisu vaši.