Haavatavused ja preemiad

Maksame preemiaid avastatud haavatavuste või turvalisusega seotud probleemide eest. Tasu saamiseks peavad olema täidetud järgmised tingimused.

#1 Haavatavus peab olema unikaalne 
Kui saame mitu aruannet, saab preemia esimesena teatanu. Oma äranägemisel võime maksta sümboolseid teisese teavitamise tasusid, et soodustada tulevasi avastusi.

#2 Haavatavus peab olema reprodutseeritav
Me ei maksa haavatavuse eest, mida ei ole võimalik reprodutseerida. Me ei maksa preemiaid YouTube'i videote eest, mis demonstreerivad haavatavust, mida ei ole võimalik reprodutseerida.

#3 Peab olema ründestsenaarium
Rünnakul peab olema levitamisvõime läbi meie süsteemide. Palun selgitage levitamisvõimet. Näiteks meie API kasutamine ja seejärel pahatahtlike skriptide kirjutamine ei loeks, sest see ei erineks sellest, kui kirjutada lihtsalt leht pahatahtlike skriptidega.
 

Kuidas preemiate summad määratakse

Igal ülaltoodud kategoorial on väljamaksevahemik. Kuhu vahemikus kehtiv aruanne langeb, sõltub kolmest tegurist:

Ärakasutamiseks vajalik õigus. Autentimata vead jäävad vahemiku ülaossa. Vead, mis nõuavad autenditud kasutajat, jäävad keskele. Vead, mis nõuavad privilegeeritud konteksti (meeskonna administraator, meeskonna omanik, tasuline pakett, sisemine personal), jäävad alaossa.

Mõjuraadius. Haavatavused, mis mõjutavad kõiki kasutajaid või kõiki kaarte, saavad rohkem kui haavatavused, mis mõjutavad ühte kontot või ühte meeskonda, kuhu ründaja juba kuulub.

Tagasipööratavus. Kahju, mille mõjutatud kasutaja saab tavapäraste töövoogude kaudu tagasi pöörata (näiteks parooli lähtestamine), eest makstakse vähem kui püsiva kahju või sellise kahju eest, mille tagasipööramine nõuab meie sekkumist.

Ka aruande kvaliteet loeb. Selge kirjeldus töötava kontseptsioonitõendiga (proof of concept), algpõhjuse analüüsiga ja parandusettepanekuga võib teenida vahemiku ülaotsa isegi siis, kui ainuüksi tehniline mõju jääks vahemiku keskele. Hooletud või spekulatiivsed aruanded võivad teenida vahemiku alaotsa.

Reguleerimisalast väljas

Järgmised ei kvalifitseeru preemiale:

Anonüümsed kogukonnakaardid. Kaardid, millel puudub omanik ja mida igaüks saab muuta, on pikaajaline kogukonna funktsioon. Anonüümse kaardi ülekirjutamine ei ole haavatavus.

Loetlemata (URL kui volitus) kaardid. Kaardid ilma LockView'ta on tahtlikult kättesaadavad igaühele, kes teab URL-i, sarnaselt loetlemata YouTube'i videoga. Sellisele kaardile juurdepääs või selle salvestamine kaardikoodi teades on kavandatud käitumine.

Kolmanda osapoole tarkvara, mida me majutame, kuid ei haldа. Probleemid GeoServeris, Tomcatis või muudes kolmanda osapoole tarkvarakogumites, mis on juurutatud meie teenuste kõrval. Palun teatage need vastavatele ülesvoolu hooldajatele.

Puuduvad turvapäised ilma konkreetse ründestsenaariumita. Aruanded CSP, X-Frame-Options, HSTS jms kohta ilma töötava ärakasutamiseta ei kvalifitseeru.

Kiiruspiirangud eraldiseisvalt. Kiiruspiirangu puudumine lõpp-punktidel, kus see ei ole turvakriitiline, ilma demonstreeritud kuritarvitamisstsenaariumita.

Tehisintellekti kasutamine

Kasutame tehisintellekti esmaseks valideerimiseks sorteerimisel. See teeb vahel vigu; me teostame iga aruande üle inimliku ülevaatuse, kuid kui arvate, et tehisintellekt on algselt teinud suure vea, lisage esildisele märge lisakontekstiga jne..compromise any

Burpi kasutamine / lõpp-punktid

Kasutame kiirskaneerimiseks selliseid tööriistu nagu Burp. Eelistame üldiselt, et te neid skaneeringuid meie vastu ei tee, sest tuhandete päringutega pommitamine lihtsalt koormab meie servereid tarbetult. 

Aja säästmiseks on siin mõned lõpp-punktid: 

https://www.scribblemaps.com/ 
(Kui skaneerite, blokeerige tee /maps/, sest see saadab skannerid lõputusse auku) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Maksed

Maksetähtaegade osas garantiisid ei ole. Eraldame igakuise eelarve, kusjuures tõsised probleemid saavad alati esimesena tasutud. Maksame ainult Wise'i või PayPali kaudu.
 

Preemiast ilmajäämine

Aruande valideerimine või aktsepteerimine tekitab õiguse tasule, mitte tingimusteta nõuet selle saamiseks. ScribbleMaps võib preemiat vähendada või kinni pidada tervikuna või osaliselt, kui uurija käitumine rikub neid tingimusi või heauskse koordineeritud avalikustamise põhimõtteid. Ilmajätmine on ScribbleMapsi äranägemisel; põhjus kantakse aruandele ja edastatakse uurijale.

Preemia, mis muidu oleks makstav, võib kaotada järgmistel põhjustel:

1. Enneaegne või ähvardatud avalik avalikustamine. Haavatavuse avalikustamine – või sellega ähvardamine – avalikult, kolmandatele osapooltele või meedia-/sotsiaalkanalite kaudu enne, kui ScribbleMaps on probleemi parandanud ja avalikustamise lubanud. Koordineeritud avalikustamine on programmi tingimus.
2. Sundimine, väljapressimine või ahistamine. Avalikustamata jätmise sidumine maksega; töötajate ähvardamine või survestamine; või toe-, arveldus- või teavitajakanalite kasutamine korduvaks või kuritahtlikuks tasunõudmiseks. Tasu staatuse küsimused tuleks esitada preemiaportaali kaudu, millele ScribbleMaps vastab.
3. Mitu või dubleerivat identiteeti. Mitme uurijakonto kasutamine või eraldi kontode tasude suunamine ühisele makseaadressile, et suurendada esildiste mahtu või tasusid.
4. Salaleppimine või väljamõeldud leiud. Esildiste kooskõlastamine kontode vahel, teise osaleja konto või kaartide kasutamine „ohvrina“ kontseptsioonitõendis või sellise andmeseisundi tekitamine, mida toode ei saa luua, ja seejärel tekkinud andmetele viitamine lekkena.
5. Väikese vaevaga või automatiseeritud rämpspost. Automatiseeritud skanneri väljundi, aegunud teekide/CVE-de loendite või teadaolevate reguleerimisalast väljas olevate punktide (vt Reguleerimisalast väljas) hulgiesildised ilma demonstreeritud ScribbleMapsi-spetsiifilise ärakasutamiseta.
6. Kahjulik või ebaseaduslik testimine. Teiste kasutajate andmetele juurdepääs, nende muutmine või väljaviimine rohkem, kui on probleemi demonstreerimiseks minimaalselt vajalik; teenuse halvendamine või keelamine; töötajate või kasutajate sotsiaalne manipuleerimine; või mis tahes tegevus, mis on programmi ulatuse või kehtiva õigusega keelatud.
7. Valeandmete esitamine või pettus. Reprodutseerimissammude, tõendite, avastamiskuupäevade või identiteedi võltsimine.

Märkused.

• Ilmajätmine võib olla osaline (vähendatud tasu) või täielik ($0).
• Valideeritud aruanne, mis jäetakse väärkäitumise tõttu preemiast ilma, ei ole sama leiu osas uuesti kvalifitseeruv.
• Need tingimused kehtivad esitamise hetkest ja korratakse aruande aktsepteerimisel saadetavas aktsepteerimisteates.

Aruande esitamiseks

Palun külastage: https://api.scribblemaps.com/vulnerabilities

Saidil on ka juhised aruannete esitamiseks tehisintellekti kaudu. Aruande esitamiseks peate sisse logima.

Õiguslikud punktid

Me ei saa anda tasusid isikutele, kes on sanktsioonide nimekirjades, ega isikutele riikides (nt Kuuba, Iraan, Põhja-Korea, Sudaan ja Süüria), mis on sanktsioonide nimekirjades. Te vastutate kõigi maksuliste tagajärgede eest sõltuvalt teie elukohariigist ja kodakondsusest. Kohaliku õiguse tõttu võivad teie osalemisvõimalusele kehtida täiendavad piirangud.

See ei ole võistlus, vaid eksperimentaalne ja omal äranägemisel toimiv preemiaprogramm. Peaksite mõistma, et võime programmi igal ajal lõpetada ning otsus, kas tasu maksta või mitte, on täielikult meie äranägemisel.

Loomulikult ei tohi teie testimine rikkuda ühtegi seadust ega häirida või kahjustada andmeid, mis ei ole teie omad.