Sårbarheder og dusører

Vi udbetaler dusører for opdagede sårbarheder eller sikkerhedsrelaterede problemer. For at få udbetalt skal følgende være opfyldt.

#1 Sårbarheden skal være unik 
Hvis vi modtager flere rapporter, vil den første, der rapporterer, få dusøren. Vi kan efter eget skøn udbetale nominelle sekundære underretningsgebyrer for at opmuntre til fremtidige opdagelser.

#2 Sårbarheden skal kunne reproduceres
Vi udbetaler ikke dusør for sårbarheder, der ikke kan reproduceres. Vi udbetaler ikke dusører for YouTube-videoer, der demonstrerer en sårbarhed, som ikke kan reproduceres.

#3 Der skal være et angrebsscenarie
Angrebet skal have distributionskapacitet gennem vores systemer. Forklar venligst distributionskapaciteten. For eksempel vil udnyttelse af vores API og efterfølgende skrivning af ondsindede scripts ikke tælle med, da dette ikke ville være anderledes end blot at skrive en side med ondsindede scripts.
 

Hvordan dusørbeløb bestemmes

Hver kategori ovenfor har et udbetalingsinterval. Hvor en gyldig rapport lander inden for sit interval, afhænger af tre faktorer:

Rettigheder påkrævet for at udnytte. Ikke-godkendte fejl lander i toppen af intervallet. Fejl, der kræver en godkendt bruger, lander i midten. Fejl, der kræver en privilegeret kontekst (team admin, team owner, betalt abonnement, internt personale) lander i bunden.

Skadesomfang (Blast radius). Sårbarheder, der påvirker alle brugere eller alle kort, betaler mere end sårbarheder, der påvirker en enkelt konto eller et enkelt team, som angriberen allerede tilhører.

Reversibilitet. Skader, som den berørte bruger kan fortryde via normale arbejdsgange (f.eks. en nulstilling af adgangskode), betaler mindre end skader, der vedvarer, eller som kræver vores indgriben at omstøde.

Rapportens kvalitet spiller også ind. En klar beskrivelse med et fungerende proof of concept, rodårsagsanalyse og et forslag til udbedring kan udløse toppen af intervallet, selv når den tekniske effekt alene ville lande i midten. Sjusket eller spekulative rapporter kan ende i bunden.

Uden for omfang

Følgende er ikke berettiget til en dusør:

Anonyme fællesskabskort. Kort uden ejer, som kan redigeres af alle, er en mangeårig funktion i fællesskabet. At gemme oven i et anonymt kort er ikke en sårbarhed.

Ikke-listede kort (URL-som-legitimation). Kort uden LockView er bevidst tilgængelige for alle, der kender URL'en, svarende til en ikke-listet YouTube-video. At få adgang til eller gemme et sådant kort ved at kende dets kortkode er tilsigtet design.

Tredjepartssoftware, som vi hoster, men ikke vedligeholder. Problemer i GeoServer, Tomcat eller andre tredjeparts-stacks, der er implementeret sammen med vores tjenester. Rapporter venligst disse til de respektive upstream-vedligeholdere.

Manglende sikkerhedsheaddere uden et konkret angrebsscenarie. Rapporter om CSP, X-Frame-Options, HSTS osv. uden et fungerende exploit er ikke berettigede.

Hastighedsbegrænsning (Rate limiting) i isolation. Manglende hastighedsbegrænsning på endpoints, hvor hastighedsbegrænsning ikke er sikkerhedskritisk, uden et påvist misbrugsscenarie.

Brug af AI

Vi udnytter AI til at foretage indledende validering til prioritering (triaging). Den laver nogle gange fejl, og vi foretager manuelle vurderinger af hver enkelt, men hvis du mener, at AI'en har begået en stor fejl i første omgang, kan du tilføje en note til indsendelsen med yderligere kontekst osv..kompromittere nogen

Brug af Burp / Endpoints

Vi bruger værktøjer som Burp til hurtige scanninger. Vi foretrækker generelt, at du ikke foretager disse scanninger mod os, da tusindvis af anmodninger blot belaster vores servere unødigt. 

For at spare dig tid er her nogle endpoints: 

https://www.scribblemaps.com/ 
(Hvis du foretager en scanning, skal du blokere stien /maps/, da dette vil sende scannere ned i et kaninhul) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Betalinger

Der er ingen garantier for tidslinjer for betaling. Vi afsætter et månedligt budget, hvor alvorlige problemer altid bliver betalt først. Vi foretager kun betalinger via Wise eller PayPal.
 

Fortabelse af dusør

Validering eller accept af en rapport etablerer berettigelse til en belønning, ikke en ubetinget ret til en. ScribbleMaps kan reducere eller tilbageholde en dusør helt eller delvist, hvis en forskers adfærd overtræder disse vilkår eller principperne for god skik ved koordineret offentliggørelse (coordinated disclosure). Fortabelse sker efter ScribbleMaps' skøn; årsagen registreres på rapporten og meddeles til forskeren.

En dusør, som ellers ville være til udbetaling, kan fortabes af en af følgende årsager:

1. For tidlig eller truet offentliggørelse. Offentliggørelse af sårbarheden — eller trussel om at offentliggøre den — offentligt, til tredjeparter eller via medier/sociale kanaler, før ScribbleMaps har udbedret problemet og godkendt offentliggørelse. Koordineret offentliggørelse er en betingelse for programmet.
2. Tvang, afpresning eller chikane. At gøre ikke-offentliggørelse betinget af betaling; at true eller presse personale; eller at bruge support-, fakturerings- eller rapportørkanaler til gentagne gange eller på grov vis at kræve betaling. Spørgsmål om belønningsstatus skal rejses via dusørportalen, som ScribbleMaps vil besvare.
3. Flere eller duplikerede identiteter. At drive mere end én forskerkonto, eller at dirigere belønninger for separate konti til en fælles betalingsadresse, for kunstigt at øge mængden af indsendelser eller belønninger.
4. Aftalt spil eller fabrikerede fund. Koordinering af indsendelser på tværs af konti, brug af en anden deltagers konto eller kort som ”offer” i et proof of concept, eller fabrikation af en datatilstand, som produktet ikke kan producere, og derefter henvise til de resulterende data som et læk.
5. Lav indsats eller automatiseret spam. Masseindsendelser af automatiseret scanner-output, lister over forældede biblioteker/CVE'er eller kendte emner uden for omfanget (se Uden for omfang) uden et påvist, ScribbleMaps-specifikt exploit.
6. Skadelig eller ulovlig testning. Tilgang til, ændring af eller eksfiltrering af andre brugeres data ud over det absolut nødvendige for at demonstrere problemet; forringelse eller afvisning af tjeneste (denial of service); social engineering af personale eller brugere; eller enhver aktivitet, der er forbudt i henhold til programmets omfang eller gældende lovgivning.
7. Vildledning eller svindel. Falsificering af reproduktionstrin, beviser, opdagelsesdatoer eller identitet.

Bemærkninger.

• Fortabelse kan være delvis (en reduceret belønning) eller fuld ($0).
• En valideret rapport, der fortabes på grund af forseelse, er ikke berettiget igen for det samme fund.
• Disse vilkår gælder fra indsendelsestidspunktet og gentages i den acceptmeddelelse, der sendes, når en rapport accepteres.

Sådan indsender du en rapport

Besøg venligst: https://api.scribblemaps.com/vulnerabilities

Siden indeholder også instruktioner om, hvordan du indsender rapporter via AI. Du skal logge ind for at indsende en rapport.

Juridiske forhold

Vi er ikke i stand til at udstede belønninger til personer, der er på sanktionslister, eller som befinder sig i lande (f.eks. Cuba, Iran, Nordkorea, Sudan og Syrien) på sanktionslister. Du er selv ansvarlig for eventuelle skattemæssige konsekvenser afhængigt af dit bopælsland og statsborgerskab. Der kan være yderligere begrænsninger for din mulighed for at deltage afhængigt af din lokale lovgivning.

Dette er ikke en konkurrence, men snarere et eksperimentelt og skønsmæssigt belønningsprogram. Du skal være indforstået med, at vi til enhver tid kan annullere programmet, og beslutningen om, hvorvidt der skal udbetales en belønning, ligger helt og holdent efter vores eget skøn.

Selvfølgelig må din testning ikke overtræde nogen lovgivning eller forstyrre eller kompromittere data, der ikke er dine egne.