Kerentanan Dan Hadiah Bounty

Kami membayar hadiah bounty atas kerentanan atau masalah terkait keamanan yang ditemukan. Agar bisa dibayar, hal-hal berikut harus terpenuhi.

#1 Kerentanan harus unik 
Jika kami menerima beberapa laporan, pelapor pertama yang akan mendapatkan bounty. Atas kebijakan kami, kami dapat membayar biaya notifikasi sekunder nominal untuk mendorong penemuan di masa mendatang.

#2 Kerentanan harus dapat direproduksi
Kami tidak akan membayar kerentanan apa pun yang tidak dapat direproduksi. Kami tidak akan membayar bounty untuk video YouTube yang mendemonstrasikan kerentanan yang tidak dapat direproduksi.

#3 Harus memiliki skenario serangan
Serangan harus memiliki kemampuan distribusi melalui sistem kami. Mohon jelaskan kemampuan distribusi tersebut. Misalnya, memanfaatkan API kami lalu menulis skrip berbahaya tidak dihitung karena hal itu tidak berbeda dengan sekadar menulis halaman dengan skrip berbahaya.
 

Bagaimana jumlah bounty ditentukan

Setiap kategori di atas memiliki kisaran pembayaran. Posisi laporan valid dalam kisaran tersebut bergantung pada tiga faktor:

Hak istimewa yang diperlukan untuk mengeksploitasi. Bug tanpa autentikasi berada di bagian atas kisaran. Bug yang memerlukan pengguna terautentikasi berada di tengah. Bug yang memerlukan konteks berhak istimewa (admin tim, pemilik tim, paket berbayar, staf internal) berada di bagian bawah.

Radius dampak. Kerentanan yang memengaruhi setiap pengguna atau setiap peta dibayar lebih tinggi daripada kerentanan yang memengaruhi satu akun atau satu tim yang sudah menjadi tempat penyerang bergabung.

Dapat dipulihkan. Kerusakan yang dapat dibatalkan oleh pengguna terdampak melalui alur kerja normal (misalnya, reset kata sandi) dibayar lebih rendah daripada kerusakan yang bertahan atau yang memerlukan intervensi kami untuk dibatalkan.

Kualitas laporan juga berpengaruh. Laporan yang jelas dengan proof of concept yang berfungsi, analisis akar masalah, dan saran perbaikan dapat memperoleh bagian atas kisaran meskipun dampak teknisnya saja akan berada di tengah. Laporan yang asal-asalan atau bersifat spekulatif dapat memperoleh bagian bawah.

Di luar cakupan

Hal-hal berikut tidak memenuhi syarat untuk mendapatkan bounty:

Peta komunitas anonim. Peta tanpa pemilik yang dapat diedit oleh siapa saja adalah fitur komunitas yang sudah lama ada. Menyimpan di atas peta anonim bukanlah kerentanan.

Peta Tidak terdaftar (URL sebagai kredensial). Peta tanpa LockView sengaja dapat diakses oleh siapa saja yang mengetahui URL-nya, serupa dengan video YouTube tidak terdaftar. Mengakses atau menyimpan peta semacam itu dengan mengetahui kode petanya adalah hal yang disengaja.

Perangkat lunak pihak ketiga yang kami host tetapi tidak kami kelola. Masalah pada GeoServer, Tomcat, atau stack pihak ketiga lainnya yang dipasang bersama layanan kami. Mohon laporkan hal ini kepada pengelola upstream masing-masing.

Header keamanan yang hilang tanpa skenario serangan yang konkret. Laporan tentang CSP, X-Frame-Options, HSTS, dll. tanpa eksploit yang berfungsi tidak memenuhi syarat.

Pembatasan laju secara terpisah. Tidak adanya pembatasan laju pada endpoint yang pembatasan lajunya tidak krusial bagi keamanan, tanpa skenario penyalahgunaan yang terbukti.

Penggunaan AI

Kami memanfaatkan AI untuk melakukan validasi awal dalam triase. AI terkadang membuat kesalahan, dan kami melakukan tinjauan manusia pada setiap laporan. Namun, jika Anda merasa AI telah membuat kesalahan besar pada tahap awal, tambahkan Catatan pada pengiriman laporan dengan konteks lebih lanjut, dsb..compromise any

Penggunaan Burp / Endpoint

Kami menggunakan alat seperti burp untuk pemindaian cepat. Kami umumnya lebih suka jika Anda tidak melakukan pemindaian ini pada kami karena mengirim ribuan permintaan hanya memberikan beban yang tidak perlu pada server kami. 

Untuk menghemat waktu Anda, berikut beberapa endpoint: 

https://www.scribblemaps.com/ 
(Jika Anda melakukan pemindaian, blokir path /maps/ karena ini akan membawa pemindai ke jalan buntu) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pembayaran

Tidak ada jaminan mengenai jadwal pembayaran. Kami mengalokasikan anggaran bulanan, dengan masalah yang parah selalu dibayar lebih dahulu. Kami hanya melakukan pembayaran melalui wise atau paypal.
 

Hilangnya Hak atas Bounty

Memvalidasi atau menerima laporan menetapkan kelayakan untuk mendapatkan hadiah, bukan hak tanpa syarat atas hadiah tersebut. ScribbleMaps dapat mengurangi atau menahan bounty seluruhnya atau sebagian ketika perilaku peneliti melanggar ketentuan ini atau prinsip pengungkapan terkoordinasi dengan itikad baik. Hilangnya hak ditentukan atas kebijakan ScribbleMaps; alasannya dicatat pada laporan dan disampaikan kepada peneliti.

Bounty yang seharusnya dapat dibayarkan dapat hangus karena salah satu hal berikut:

1. Pengungkapan publik yang prematur atau diancamkan. Mengungkapkan kerentanan — atau mengancam akan mengungkapkannya — secara publik, kepada pihak ketiga, atau melalui saluran media/sosial sebelum ScribbleMaps memperbaiki masalah tersebut dan mengizinkan pengungkapan. Pengungkapan terkoordinasi adalah syarat program ini.
2. Pemaksaan, pemerasan, atau pelecehan. Menjadikan ketidakpengungkapan sebagai syarat pembayaran; mengancam atau menekan staf; atau menggunakan saluran dukungan, penagihan, atau pelapor untuk berulang kali atau secara kasar menuntut pembayaran. Pertanyaan tentang status hadiah harus diajukan melalui portal bounty, yang akan dijawab oleh ScribbleMaps.
3. Identitas ganda atau berganda. Mengoperasikan lebih dari satu akun peneliti, atau mengalihkan hadiah untuk akun terpisah ke alamat pembayaran yang sama, untuk menggelembungkan volume pengiriman atau hadiah.
4. Kolusi atau temuan rekayasa. Mengoordinasikan pengiriman laporan di antara akun, menggunakan akun atau peta peserta lain sebagai “korban” dalam proof of concept, atau merekayasa kondisi data yang tidak dapat dihasilkan oleh produk lalu mengutip data yang dihasilkan sebagai kebocoran.
5. Spam berusaha rendah atau otomatis. Pengiriman Massal keluaran pemindai otomatis, daftar pustaka usang/CVE, atau item yang diketahui di luar cakupan (lihat Di luar cakupan) tanpa eksploit spesifik ScribbleMaps yang terdemonstrasi.
6. Pengujian yang merugikan atau melanggar hukum. Mengakses, mengubah, atau mengekstrak data pengguna lain melebihi batas minimum yang diperlukan untuk mendemonstrasikan masalah; menurunkan kinerja atau menolak layanan; rekayasa sosial terhadap staf atau pengguna; atau aktivitas apa pun yang dilarang oleh cakupan program atau hukum yang berlaku.
7. Penyajian palsu atau penipuan. Memalsukan langkah reproduksi, bukti, tanggal penemuan, atau identitas.

Catatan.

• Hilangnya hak dapat bersifat sebagian (hadiah dikurangi) atau penuh ($0).
• Laporan tervalidasi yang hangus karena pelanggaran perilaku tidak lagi memenuhi syarat untuk temuan yang sama.
• Ketentuan ini berlaku sejak saat pengiriman dan dinyatakan kembali dalam pemberitahuan penerimaan yang dikirim ketika laporan diterima.

Untuk Mengirim Laporan

Silakan kunjungi: https://api.scribblemaps.com/vulnerabilities

Situs ini juga mencakup petunjuk tentang cara mengirim laporan melalui AI. Anda harus masuk untuk mengirim laporan.

Poin hukum

Kami tidak dapat memberikan hadiah kepada individu yang berada dalam daftar sanksi, atau yang berada di negara (misalnya Kuba, Iran, Korea Utara, Sudan, dan Suriah) yang masuk dalam daftar sanksi. Anda bertanggung jawab atas implikasi pajak apa pun tergantung negara tempat tinggal dan kewarganegaraan Anda. Mungkin ada pembatasan tambahan pada kemampuan Anda untuk berpartisipasi tergantung hukum setempat.

Ini bukan kompetisi, melainkan program hadiah eksperimental dan diskresioner. Anda harus memahami bahwa kami dapat membatalkan program kapan saja, dan keputusan apakah akan membayar hadiah atau tidak sepenuhnya merupakan kebijakan kami.

Tentu saja, pengujian Anda tidak boleh melanggar hukum apa pun, atau mengganggu atau membahayakan data apa pun yang bukan milik Anda sendiri.