Ранливости и награди

Плаќаме награди за откриени ранливости или проблеми поврзани со безбедноста. За да добиете исплата, мора да се исполнети следниве услови.

#1 Ранливоста мора да биде уникатна 
Ако примиме повеќе пријави, наградата ја добива првиот што ќе пријави. Според наша дискреција, може да исплатиме номинални секундарни надоместоци за нотификација за да поттикнеме идни откритија.

#2 Ранливоста мора да може да се репродуцира
Нема да плаќаме за ранливост што не може да се репродуцира. Нема да исплаќаме награди за видеа на YouTube што демонстрираат ранливост што не може да се репродуцира.

#3 Мора да има сценарио на напад
Нападот мора да има можност за дистрибуција преку нашите системи. Ве молиме објаснете ја можноста за дистрибуција. На пример, искористувањето на нашиот API и пишувањето малициозни скрипти не се брои, бидејќи тоа не е ништо различно од едноставно пишување страница со малициозни скрипти.
 

Како се одредуваат износите на наградите

Секоја категорија погоре има опсег на исплата. Каде во опсегот ќе се најде една валидна пријава зависи од три фактори:

Потребна привилегија за искористување. Грешките без автентикација се на горниот дел од опсегот. Грешките што бараат автентициран корисник се во средината. Грешките што бараат привилегиран контекст (администратор на тим, сопственик на тим, платен план, внатрешен персонал) се на дното.

Обем на влијание. Ранливостите што ги засегаат сите корисници или сите мапи носат повисока награда од ранливостите што засегаат една сметка или еден тим на кој напаѓачот веќе му припаѓа.

Реверзибилност. Штетата што засегнатиот корисник може да ја поправи преку нормални постапки (на пример, ресетирање на лозинка) носи пониска награда од штетата што трае или бара наша интервенција за да се поправи.

Квалитетот на пријавата исто така игра улога. Јасен опис со работен доказ на концепт, анализа на коренската причина и предлог за санација може да ја донесе највисоката награда од опсегот дури и кога само техничкото влијание би се најде на средина. Невнимателни или шпекулативни пријави може да добијат најниска награда.

Надвор од опсег

Следново не е подобно за награда:

Анонимни заедници мапи. Мапите без сопственик што може да ги уредува секој се долгогодишна функција на заедницата. Зачувувањето врз анонимна мапа не е ранливост.

Ненаведени (URL-како-акредитив) мапи. Мапите без LockView се намерно достапни за секој што го знае URL-то, слично на ненаведено видео на YouTube. Пристапот или зачувувањето на таква мапа со познавање на нејзиниот код е по дизајн.

Софтвер од трети страни што го хостираме, но не го одржуваме. Проблеми во GeoServer, Tomcat или други стекови од трети страни поставени заедно со нашите услуги. Ве молиме пријавете ги кај соодветните upstream одржувачи.

Недостасувачки безбедносни заглавија без конкретно сценарио на напад. Пријавите за CSP, X-Frame-Options, HSTS итн. без работен exploit не се подобни.

Ограничување на стапката само по себе. Недостаток на ограничување на стапката на крајни точки каде што тоа не е критично за безбедноста, без демонстрирано сценарио на злоупотреба.

Користење на AI

Користиме AI за почетна валидација при тријажа. Понекогаш прави грешки, а ние правиме човечки прегледи на секоја, сепак, ако мислите дека AI направил голема грешка на почетокот, додадете белешка на пријавата со дополнителен контекст итн..compromise any

Користење на Burp / Крајни точки

Користиме алатки како burp за брзи скенирања. Општо претпочитаме да не правите такви скенирања врз нас, бидејќи погодувањето со илјадници барања само создава непотребно оптоварување на нашите сервери. 

За да ви заштедиме време, еве неколку крајни точки: 

https://www.scribblemaps.com/ 
(Ако правите скенирање, блокирајте ја патеката /maps/ бидејќи таа ги праќа скенерите во бескрајна дупка) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Плаќања

Нема гаранции за роковите на плаќање. Одвојуваме месечен буџет, при што сериозните проблеми секогаш се плаќаат први. Плаќаме само преку wise или paypal.
 

Губење на наградата

Валидирањето или прифаќањето на пријава воспоставува подобност за награда, а не безусловно право на неа. ScribbleMaps може да ја намали или да ја задржи наградата целосно или делумно кога однесувањето на истражувачот ги крши овие услови или принципите на добронамерно координирано откривање. Губењето на наградата е по дискреција на ScribbleMaps; причината се евидентира на пријавата и му се соопштува на истражувачот.

Награда што инаку би била исплатлива може да се загуби поради кое било од следново:

1. Предвремено или заканувачко јавно откривање. Откривање на ранливоста — или закана дека ќе се открие — јавно, пред трети страни или преку медиуми/социјални канали пред ScribbleMaps да го отстрани проблемот и да одобри откривање. Координираното откривање е услов на програмата.
2. Принуда, изнудување или вознемирување. Условување на непрогласувањето со плаќање; заканување или притисок врз персоналот; или користење на каналите за поддршка, наплата или пријавувачи за повторувано или навредливо барање плаќање. Прашањата за статусот на наградата треба да се поставуваат преку порталот за награди, на кој ScribbleMaps ќе одговори.
3. Повеќе или дупликат идентитети. Водење на повеќе од една сметка на истражувач или насочување на наградите за посебни сметки кон заедничка адреса за плаќање, со цел да се зголеми бројот на пријави или наградите.
4. Договарање или измислени наоди. Координирање на пријавите меѓу сметките, користење на сметката или мапите на друг учесник како „жртва“ во доказ на концепт или измислување состојба на податоци што производот не може да ја произведе, а потоа цитирање на добиените податоци како протекување.
5. Спам со низок напор или автоматизиран спам. Групни пријави на автоматизиран излез од скенер, листи на застарени библиотеки/CVE или познати ставки надвор од опсег (видете Надвор од опсег) без демонстриран exploit специфичен за ScribbleMaps.
6. Штетно или незаконско тестирање. Пристап, менување или извлекување на податоци на други корисници над минимумот потребен за да се демонстрира проблемот; влошување или одбивање на услуга; социјален инженеринг врз персоналот или корисниците; или каква било активност забранета со опсегот на програмата или важечкиот закон.
7. Погрешно претставување или измама. Фалсификување на чекорите за репродукција, доказите, датумите на откривање или идентитетот.

Белешки.

• Губењето на наградата може да биде делумно (намалена награда) или целосно ($0).
• Валидирана пријава што е изгубена поради лошо однесување не е повторно подобна за истиот наод.
• Овие услови важат од моментот на поднесување и се повторуваат во известувањето за прифаќање што се испраќа кога пријавата ќе биде прифатена.

За да поднесете пријава

Ве молиме посетете: https://api.scribblemaps.com/vulnerabilities

Страницата вклучува и упатства како да поднесувате пријави преку AI. Мора да се најавите за да поднесете пријава.

Правни точки

Не можеме да доделуваме награди на лица што се на санкциски листи или што се во земји (на пр. Куба, Иран, Северна Кореја, Судан и Сирија) на санкциски листи. Вие сте одговорни за какви било даночни импликации во зависност од вашата земја на живеење и државјанство. Може да има дополнителни ограничувања за вашата можност за учество во зависност од локалното законодавство.

Ова не е натпревар, туку експериментална и дискреционерна програма за награди. Треба да разберете дека можеме да ја откажеме програмата во секое време, а одлуката дали ќе се плати награда или не е целосно по наша дискреција.

Се разбира, вашето тестирање не смее да прекршува никаков закон, ниту да ги нарушува или компромитира податоците што не се ваши.