Vulnerabilidades e recompensas

Pagamos recompensas polas vulnerabilidades ou problemas de seguridade descubertos. Para cobrar, debe cumprirse o seguinte.

#1 A vulnerabilidade debe ser única 
Se recibimos varios informes, o primeiro en informar recibirá a recompensa. Podemos pagar, a noso criterio, taxas nominais de notificación secundaria para fomentar descubrimentos futuros.

#2 A vulnerabilidade debe ser reproducible
Non pagaremos por ningunha vulnerabilidade que non se poida reproducir. Non pagaremos recompensas por vídeos de YouTube que mostren unha vulnerabilidade que non se poida reproducir.

#3 Debe haber un escenario de ataque
O ataque debe ter capacidade de distribución a través dos nosos sistemas. Explica a capacidade de distribución. Por exemplo, aproveitar a nosa API e despois escribir scripts maliciosos non contaría, xa que non sería diferente de simplemente escribir unha páxina con scripts maliciosos.
 

Como se determinan os importes das recompensas

Cada categoría anterior ten un intervalo de pagamento. O lugar que ocupa un informe válido dentro dese intervalo depende de tres factores:

Privilexio necesario para explotala. Os erros sen autenticación sitúanse na parte alta do intervalo. Os erros que requiren un usuario autenticado sitúanse no medio. Os erros que requiren un contexto privilexiado (administrador do equipo, propietario do equipo, plan de pago, persoal interno) sitúanse na parte baixa.

Alcance do impacto. As vulnerabilidades que afectan a todos os usuarios ou a todos os mapas pagan máis que as que afectan a unha única conta ou a un único equipo ao que o atacante xa pertence.

Reversibilidade. O dano que o usuario afectado pode desfacer mediante fluxos de traballo normais (por exemplo, un restablecemento de contrasinal) paga menos que o dano que persiste ou que require a nosa intervención para desfacelo.

A calidade do informe tamén conta. Unha descrición clara cunha proba de concepto funcional, unha análise da causa raíz e unha suxestión de corrección pode obter a parte alta do intervalo mesmo cando o impacto técnico por si só quedaría no medio. Os informes descoidados ou especulativos poden obter a parte baixa.

Fóra do ámbito

O seguinte non é elixible para unha recompensa:

Mapas comunitarios anónimos. Os mapas sen propietario que calquera pode editar son unha función comunitaria de longa data. Gardar sobre un mapa anónimo non é unha vulnerabilidade.

Mapas Non listado (URL como credencial). Os mapas sen LockView son intencionadamente accesibles para calquera que coñeza o URL, de xeito similar a un vídeo de YouTube non listado. Acceder a un mapa así ou gardalo sabendo o seu código de mapa é por deseño.

Software de terceiros que aloxamos pero non mantemos. Problemas en GeoServer, Tomcat ou outras pilas de terceiros despregadas xunto cos nosos servizos. Infórmaos aos respectivos mantedores orixinais.

Cabeceiras de seguridade ausentes sen un escenario de ataque concreto. Os informes sobre CSP, X-Frame-Options, HSTS, etc. sen unha explotación funcional non son elixibles.

Límites de frecuencia de forma illada. A falta de límites de frecuencia en puntos finais onde non son críticos para a seguridade, sen un escenario de abuso demostrado.

Uso de IA

Empregamos IA para facer unha validación inicial para a clasificación. Ás veces comete erros; facemos revisións humanas de cada informe, pero se pensas que a IA cometeu un erro importante inicialmente, engade unha nota ao envío con máis contexto, etc..compromise any

Uso de Burp / Puntos finais

Usamos ferramentas como Burp para análises rápidas. En xeral preferimos que non fagas estas análises sobre nós, xa que bombardearnos con miles de solicitudes só carga os nosos servidores innecesariamente. 

Para aforrarche tempo, aquí tes algúns puntos finais: 

https://www.scribblemaps.com/ 
(Se fas unha análise, bloquea a ruta /maps/, xa que isto levará os escáneres a un pozo sen fondo) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pagamentos

Non hai garantías sobre os prazos de pagamento. Asignamos un orzamento mensual, e os problemas graves sempre se pagan primeiro. Só facemos pagamentos mediante Wise ou PayPal.
 

Perda da recompensa

Validar ou aceptar un informe establece a elixibilidade para unha recompensa, non un dereito incondicional a ela. ScribbleMaps pode reducir ou reter unha recompensa, total ou parcialmente, cando a conduta dun investigador infrinxa estes termos ou os principios da divulgación coordinada de boa fe. A perda da recompensa é a criterio de ScribbleMaps; o motivo queda rexistrado no informe e comunícase ao investigador.

Unha recompensa que doutro modo sería pagadeira pode perderse por calquera dos seguintes motivos:

1. Divulgación pública prematura ou ameazada. Divulgar a vulnerabilidade — ou ameazar con divulgala — publicamente, a terceiros ou a través de canles de medios/redes sociais antes de que ScribbleMaps corrixise o problema e autorizase a divulgación. A divulgación coordinada é unha condición do programa.
2. Coacción, extorsión ou acoso. Condicionar a non divulgación ao pagamento; ameazar ou presionar ao persoal; ou usar as canles de asistencia, facturación ou do informante para esixir pagamentos de forma reiterada ou abusiva. As preguntas sobre o estado da recompensa deben formularse a través do portal de recompensas, que ScribbleMaps responderá.
3. Identidades múltiples ou duplicadas. Operar máis dunha conta de investigador, ou dirixir as recompensas de contas separadas a un enderezo de pagamento compartido, para inflar o volume de envíos ou as recompensas.
4. Conluío ou descubrimentos fabricados. Coordinar envíos entre contas, usar a conta ou os mapas doutro participante como a “vítima” nunha proba de concepto, ou fabricar un estado de datos que o produto non pode producir e despois citar eses datos como unha fuga.
5. Spam automatizado ou de pouco esforzo. Envíos masivos de resultados de escáneres automatizados, listas de bibliotecas desactualizadas/CVE ou elementos coñecidos fóra do ámbito (ver Fóra do ámbito) sen unha explotación demostrada e específica de ScribbleMaps.
6. Probas daniñas ou ilícitas. Acceder aos datos doutros usuarios, alterados ou exfiltralos máis alá do mínimo necesario para demostrar o problema; degradar ou denegar o servizo; facer enxeñaría social ao persoal ou aos usuarios; ou calquera actividade prohibida polo ámbito do programa ou pola lei aplicable.
7. Falsidade ou fraude. Falsificar os pasos de reprodución, as probas, as datas de descubrimento ou a identidade.

Notas.

• A perda da recompensa pode ser parcial (unha recompensa reducida) ou total ($0).
• Un informe validado que se perda por mala conduta non volve ser elixible para o mesmo descubrimento.
• Estes termos aplícanse desde o momento do envío e reitéranse no aviso de aceptación enviado cando se acepta un informe.

Para enviar un informe

Visita: https://api.scribblemaps.com/vulnerabilities

O sitio tamén inclúe instrucións sobre como enviar informes mediante IA. Debes iniciar sesión para enviar un informe.

Puntos legais

Non podemos conceder recompensas a persoas que figuren en listas de sancións ou que estean en países (p. ex. Cuba, Irán, Corea do Norte, Sudán e Siria) incluídos en listas de sancións. Es responsable das implicacións fiscais segundo o teu país de residencia e cidadanía. Pode haber restricións adicionais á túa participación segundo a lexislación local.

Isto non é un concurso, senón un programa de recompensas experimental e discrecional. Debes entender que podemos cancelar o programa en calquera momento, e que a decisión de pagar ou non unha recompensa depende enteiramente do noso criterio.

Por suposto, as túas probas non deben infrinxir ningunha lei nin perturbar ou comprometer datos que non sexan teus.