Ranjivosti i nagrade

Isplaćujemo nagrade za otkrivene ranjivosti ili probleme povezane sa sigurnošću. Da biste dobili isplatu, moraju biti ispunjeni sljedeći uvjeti.

#1 Ranjivost mora biti jedinstvena 
Ako zaprimimo više prijava, nagradu dobiva prvi prijavitelj. Prema vlastitoj procjeni možemo isplatiti nominalne sekundarne naknade za obavijest kako bismo potaknuli buduća otkrića.

#2 Ranjivost mora biti reproducibilna
Nećemo isplatiti nagradu za ranjivost koja se ne može reproducirati. Nećemo isplaćivati nagrade za YouTube videozapise koji prikazuju ranjivost koja se ne može reproducirati.

#3 Mora postojati scenarij napada
Napad mora imati mogućnost distribucije putem naših sustava. Molimo objasnite mogućnost distribucije. Na primjer, korištenje našeg API-ja i pisanje zlonamjernih skripti ne bi se računalo jer to ne bi bilo ništa drukčije od pisanja stranice sa zlonamjernim skriptama.
 

Kako se određuju iznosi nagrada

Svaka gore navedena kategorija ima raspon isplate. Gdje će valjana prijava završiti unutar tog raspona ovisi o trima čimbenicima:

Privilegije potrebne za iskorištavanje. Ranjivosti za koje nije potrebna autentifikacija nalaze se pri vrhu raspona. Ranjivosti koje zahtijevaju autentificiranog korisnika nalaze se u sredini. Ranjivosti koje zahtijevaju privilegirani kontekst (administrator tima, vlasnik tima, plaćeni plan, interno osoblje) nalaze se pri dnu.

Opseg posljedica. Ranjivosti koje utječu na sve korisnike ili sve karte plaćaju se više od ranjivosti koje utječu na jedan račun ili jedan tim kojemu napadač već pripada.

Reverzibilnost. Šteta koju pogođeni korisnik može poništiti uobičajenim postupcima (na primjer, resetiranjem lozinke) plaća se manje od štete koja je trajna ili čije poništavanje zahtijeva našu intervenciju.

Kvaliteta prijave također ima ulogu. Jasan opis s funkcionalnim dokazom koncepta, analizom uzroka i prijedlogom otklanjanja može donijeti vrh raspona čak i kada bi sam tehnički utjecaj završio u sredini raspona. Traljave ili špekulativne prijave mogu donijeti dno raspona.

Izvan opsega

Sljedeće ne ispunjava uvjete za nagradu:

Anonimne zajednicke karte. Karte bez vlasnika koje svatko može uređivati dugogodišnja su značajka zajednice. Spremanje preko anonimne karte nije ranjivost.

Nenavedene karte (URL kao vjerodajnica). Karte bez LockView namjerno su dostupne svakome tko zna URL, slično nenavedenom YouTube videozapisu. Pristup takvoj karti ili njezino spremanje poznavanjem njezina koda karte namjerno je tako zamišljeno.

Softver trećih strana koji hostiramo, ali ne održavamo. Problemi u GeoServeru, Tomcatu ili drugim stackovima trećih strana postavljenima uz naše usluge. Molimo prijavite ih odgovarajućim održavateljima izvornog softvera.

Nedostajuća sigurnosna zaglavlja bez konkretnog scenarija napada. Prijave o CSP-u, X-Frame-Options, HSTS-u itd. bez funkcionalnog exploita ne ispunjavaju uvjete.

Ograničavanje broja zahtjeva samo po sebi. Nepostojanje ograničavanja broja zahtjeva na krajnjim točkama gdje ono nije sigurnosno kritično, bez dokazanog scenarija zlouporabe.

Upotreba umjetne inteligencije

Koristimo umjetnu inteligenciju za početnu validaciju radi trijaže. Ponekad pogriješi, a svaku prijavu pregledavaju i ljudi; međutim, ako smatrate da je umjetna inteligencija u početku napravila veliku pogrešku, dodajte napomenu uz prijavu s dodatnim kontekstom i sl..compromise any

Upotreba Burpa / krajnje točke

Koristimo alate poput Burpa za brza skeniranja. Općenito preferiramo da ne provodite ta skeniranja na nama jer slanje tisuća zahtjeva samo nepotrebno opterećuje naše poslužitelje. 

Da vam uštedimo malo vremena, evo krajnjih točaka: 

https://www.scribblemaps.com/ 
(Ako provodite skeniranje, blokirajte putanju /maps/ jer će skenere poslati u beskrajni labirint) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Isplate

Nema jamstava u pogledu rokova isplate. Dodjeljujemo mjesečni proračun, a ozbiljni problemi uvijek se plaćaju prvi. Isplate vršimo samo putem Wisea ili PayPala.
 

Gubitak prava na nagradu

Validacija ili prihvaćanje prijave utvrđuje podobnost za nagradu, a ne bezuvjetno pravo na nju. ScribbleMaps može smanjiti ili uskratiti nagradu u cijelosti ili djelomično kada ponašanje istraživača krši ove uvjete ili načela koordiniranog otkrivanja u dobroj vjeri. Gubitak prava na nagradu je prema vlastitoj procjeni ScribbleMapsa; razlog se bilježi uz prijavu i priopćava istraživaču.

Nagrada koja bi inače bila isplativa može se izgubiti zbog bilo čega od sljedećeg:

1. Preuranjeno ili zaprijećeno javno otkrivanje. Javno otkrivanje ranjivosti — ili prijetnja otkrivanjem — trećim stranama ili putem medija/društvenih kanala prije nego što je ScribbleMaps otklonio problem i odobrio otkrivanje. Koordinirano otkrivanje uvjet je programa.
2. Prisila, ucjena ili uznemiravanje. Uvjetovanje neotkrivanja isplatom; prijetnje osoblju ili pritisak na njega; ili korištenje kanala podrške, naplate ili prijavitelja za opetovano ili zlonamjerno zahtijevanje isplate. Pitanja o statusu nagrade treba postaviti putem portala za nagrade, na koja će ScribbleMaps odgovoriti.
3. Više identiteta ili duplicirani identiteti. Upravljanje više od jednog računa istraživača ili usmjeravanje nagrada za zasebne račune na zajedničku adresu za plaćanje radi povećanja broja prijava ili nagrada.
4. Dosluh ili izmišljeni nalazi. Koordiniranje prijava među računima, korištenje računa ili karata drugog sudionika kao „žrtve“ u dokazu koncepta ili izmišljanje stanja podataka koje proizvod ne može proizvesti, a zatim navođenje tako dobivenih podataka kao curenja.
5. Neuložen trud ili automatizirani spam. Skupno slanje izlaza automatiziranih skenera, popisa zastarjelih biblioteka/CVE-ova ili poznatih stavki izvan opsega (vidi Izvan opsega) bez dokazanog exploita specifičnog za ScribbleMaps.
6. Štetno ili nezakonito testiranje. Pristupanje podacima drugih korisnika, njihovo mijenjanje ili izvlačenje preko minimuma potrebnog za demonstraciju problema; narušavanje ili onemogućavanje usluge; socijalni inženjering nad osobljem ili korisnicima; ili bilo koja aktivnost zabranjena opsegom programa ili mjerodavnim zakonom.
7. Lažno predstavljanje ili prijevara. Krivotvorenje koraka reprodukcije, dokaza, datuma otkrića ili identiteta.

Napomene.

• Gubitak prava na nagradu može biti djelomičan (smanjena nagrada) ili potpun ($0).
• Validirana prijava za koju je nagrada izgubljena zbog nepoštenog postupanja ne ispunjava ponovno uvjete za isti nalaz.
• Ovi se uvjeti primjenjuju od trenutka podnošenja i ponovno se navode u obavijesti o prihvaćanju koja se šalje kada se prijava prihvati.

Kako poslati prijavu

Posjetite: https://api.scribblemaps.com/vulnerabilities

Stranica također sadrži upute o tome kako slati prijave putem umjetne inteligencije. Za slanje prijave morate se prijaviti.

Pravne napomene

Ne možemo isplaćivati nagrade osobama koje se nalaze na sankcijskim popisima ili koje se nalaze u zemljama (npr. Kuba, Iran, Sjeverna Koreja, Sudan i Sirija) koje se nalaze na sankcijskim popisima. Vi ste odgovorni za sve porezne posljedice ovisno o zemlji prebivališta i državljanstvu. Mogu postojati dodatna ograničenja vašeg sudjelovanja ovisno o lokalnom zakonu.

Ovo nije natjecanje, već eksperimentalni program nagrađivanja prema slobodnoj procjeni. Trebate znati da program možemo otkazati u bilo kojem trenutku te da odluka o tome hoće li se isplatiti nagrada ovisi isključivo o našoj procjeni.

Naravno, vaše testiranje ne smije kršiti nijedan zakon niti ometati ili ugroziti podatke koji nisu vaši.