Sebezhetőségek és jutalmak

Fizetünk jutalmat a felfedezett sebezhetőségekért és biztonsággal kapcsolatos problémákért. A kifizetéshez az alábbiaknak kell teljesülniük.

#1 A sebezhetőségnek egyedinek kell lennie 
Ha több bejelentést kapunk, a jutalmat az elsőként bejelentő kapja. Mérlegelésünk szerint nominális másodlagos értesítési díjat fizethetünk, hogy ösztönözzük a jövőbeli felfedezéseket.

#2 A sebezhetőségnek reprodukálhatónak kell lennie
Nem fizetünk olyan sebezhetőségért, amely nem reprodukálható. Nem fizetünk jutalmat olyan YouTube-videókért sem, amelyek nem reprodukálható sebezhetőséget mutatnak be.

#3 Rendelkeznie kell támadási forgatókönyvvel
A támadásnak terjesztési képességgel kell rendelkeznie a mi rendszereinken keresztül. Kérjük, fejtse ki a terjesztési képességet. Például az API-nk kihasználása és rosszindulatú szkriptek írása nem számít, mert ez nem különbözne attól, mintha egyszerűen írna egy oldalt rosszindulatú szkriptekkel.
 

A jutalom összegének meghatározása

A fenti kategóriák mindegyikéhez egy kifizetési sáv tartozik. Az, hogy egy érvényes bejelentés a sávon belül hova esik, három tényezőtől függ:

A kihasználáshoz szükséges jogosultság. A hitelesítés nélküli hibák a sáv tetejére kerülnek. A hitelesített felhasználót igénylő hibák a középső részre kerülnek. A kiemelt jogosultságú környezetet igénylő hibák (csapat-adminisztrátor, csapattulajdonos, fizetős csomag, belső munkatárs) a sáv aljára kerülnek.

A hatás kiterjedése. Az összes felhasználót vagy az összes térképet érintő sebezhetőségekért többet fizetünk, mint azokért, amelyek egyetlen fiókot vagy egyetlen olyan csapatot érintenek, amelynek a támadó már tagja.

Visszafordíthatóság. Az olyan kárért, amelyet az érintett felhasználó a szokásos munkafolyamatokkal visszafordíthat (például jelszó-visszaállítással), kevesebbet fizetünk, mint azért, amely tartós marad, vagy amelynek visszafordításához a mi beavatkozásunk szükséges.

A bejelentés minősége is számít. Egy világos leírás működő proof of concepttel, gyökérok-elemzéssel és javítási javaslattal akkor is elnyerheti a sáv tetejét, ha a műszaki hatás önmagában csak a középső tartományba esne. Az hanyag vagy spekulatív bejelentések a sáv alját kaphatják.

Hatókörön kívül

Az alábbiakért nem jár jutalom:

Névtelen közösségi térképek. A tulajdonos nélküli, bárki által szerkeszthető térképek régóta fennálló közösségi funkciók. Egy névtelen térkép felülírása nem sebezhetőség.

Nem listázott (URL mint hitelesítő adat) térképek. A LockView nélküli térképek szándékosan elérhetők bárki számára, aki ismeri az URL-t, hasonlóan egy nem listázott YouTube-videóhoz. Egy ilyen térkép elérése vagy mentése a térképkód ismeretében a tervezett működés.

Harmadik fél szoftverei, amelyeket üzemeltetünk, de nem mi karbantartunk. A GeoServerben, a Tomcatben vagy a szolgáltatásaink mellett telepített egyéb harmadik féltől származó rendszerekben található problémák. Kérjük, ezeket az illetékes upstream karbantartóknak jelentse.

Hiányzó biztonsági fejlécek konkrét támadási forgatókönyv nélkül. A CSP-vel, X-Frame-Options-szel, HSTS-sel stb. kapcsolatos, működő exploit nélküli bejelentések nem jogosultak jutalomra.

Sebességkorlátozás önmagában. A sebességkorlátozás hiánya olyan végpontokon, ahol az nem biztonságkritikus, bizonyított visszaélési forgatókönyv nélkül.

MI használata

Mesterséges intelligenciát használunk a kezdeti ellenőrzéshez a besoroláskor. Néha téved, de minden bejelentést emberi felülvizsgálatnak is alávetünk. Ha úgy gondolja, hogy a mesterséges intelligencia kezdetben nagy hibát vétett, fűzzön megjegyzést a beküldéshez további kontextussal stb.

Burp használata / Végpontok

Olyan eszközöket használunk, mint a Burp, gyors vizsgálatokhoz. Általában azt szeretnénk, ha nem végezne ilyen vizsgálatokat rajtunk, mert az ezres nagyságrendű kérés szükségtelen terhelést jelent a szervereinknek. 

Hogy időt takarítson meg, itt vannak a végpontok: 

https://www.scribblemaps.com/ 
(Ha vizsgálatot végez, tiltsa le a /maps/ útvonalat, mert ez a szkennereket egy végtelen mélységű útvesztőbe vezeti) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Kifizetések

A kifizetési határidőkre nincs garancia. Havi költségkeretet különítünk el, és a súlyos problémákat mindig előbb fizetjük ki. Kifizetést csak Wise-on vagy PayPalon keresztül teljesítünk.
 

A jutalom elvesztése

Egy bejelentés érvényesítése vagy elfogadása a jutalomra való jogosultságot hozza létre, nem pedig feltétlen igényt arra. A ScribbleMaps csökkentheti vagy részben, illetve egészben visszatarthatja a jutalmat, ha a kutató magatartása sérti ezeket a feltételeket vagy a jóhiszemű, összehangolt közzététel elveit. Az elvesztésről a ScribbleMaps mérlegelése szerint dönt; az indokot rögzítjük a bejelentésen, és közöljük a kutatóval.

Az egyébként kifizethető jutalom az alábbiak bármelyike miatt elveszhet:

1. Idő előtti vagy megfenyegetett nyilvános közzététel. A sebezhetőség nyilvános, harmadik felek előtti vagy média-/közösségi csatornákon történő közzététele — vagy annak megfenyegetése —, mielőtt a ScribbleMaps elhárította volna a problémát és engedélyezte volna a közzétételt. Az összehangolt közzététel a program feltétele.
2. Kényszerítés, zsarolás vagy zaklatás. A közzé nem tétel fizetéshez kötése; a munkatársak megfenyegetése vagy nyomás alá helyezése; vagy az ügyfélszolgálati, számlázási vagy bejelentői csatornák használata a fizetés ismételt vagy bántalmazó követelésére. A jutalom állapotával kapcsolatos kérdéseket a jutalomprogram portálján keresztül kell feltenni, ahol a ScribbleMaps válaszol.
3. Többszörös vagy duplikált identitás. Egynél több kutatói fiók üzemeltetése, vagy külön fiókok jutalmainak közös fizetési címre irányítása a beküldések számának vagy a jutalmaknak a felpumpálására.
4. Összejátszás vagy kitalált leletek. Beküldések összehangolása fiókok között, egy másik résztvevő fiókjának vagy térképeinek „áldozatként” való használata egy proof of conceptben, vagy olyan adatállapot előállítása, amelyet a termék nem tud létrehozni, majd az így kapott adatokra szivárgásként hivatkozni.
5. Kis erőfeszítéssel készült vagy automatizált spam. Automatizált szkenner-kimenetek, elavult könyvtárak/CVE-listák vagy ismert hatókörön kívüli elemek (lásd Hatókörön kívül) tömeges beküldése bizonyított, ScribbleMaps-specifikus exploit nélkül.
6. Káros vagy jogellenes tesztelés. Más felhasználók adatainak elérése, módosítása vagy kiszivárogtatása a probléma bemutatásához szükséges minimumon túl; a szolgáltatás romlása vagy megtagadása; munkatársak vagy felhasználók megtévesztése (social engineering); vagy bármely, a program hatóköre vagy a vonatkozó jog által tiltott tevékenység.
7. Félrevezetés vagy csalás. A reprodukciós lépések, a bizonyítékok, a felfedezés dátuma vagy a személyazonosság meghamisítása.

Megjegyzések.

• Az elvesztés lehet részleges (csökkentett jutalom) vagy teljes ($0).
• Az olyan érvényesített bejelentés, amelynek jutalma helytelen magatartás miatt elveszett, ugyanarra a leletre nem jogosult újra.
• Ezek a feltételek a beküldés pillanatától érvényesek, és megismétlődnek a bejelentés elfogadásakor küldött elfogadó értesítésben.

Bejelentés beküldése

Kérjük, látogasson el ide: https://api.scribblemaps.com/vulnerabilities

Az oldal tartalmaz útmutatót arról is, hogyan küldhet be bejelentéseket mesterséges intelligencia segítségével. A bejelentés beküldéséhez be kell jelentkeznie.

Jogi tudnivalók

Nem tudunk jutalmat kifizetni olyan személyeknek, akik szankciós listán szerepelnek, vagy szankciós listán szereplő országokban (pl. Kuba, Irán, Észak-Korea, Szudán és Szíria) tartózkodnak. Ön felel a lakóhelye és állampolgársága szerinti országtól függő adókövetkezményekért. A helyi jogszabályoktól függően a részvételi lehetőségére további korlátozások vonatkozhatnak.

Ez nem verseny, hanem kísérleti és mérlegelésen alapuló jutalomprogram. Tudomásul kell vennie, hogy a programot bármikor megszüntethetjük, és az, hogy fizetünk-e jutalmat, teljes mértékben a mi mérlegelésünktől függ.

Természetesen a tesztelés nem sértheti a jogszabályokat, és nem zavarhatja vagy veszélyeztetheti a nem saját adatait.