Vulnerabilitajiet u Bounties

Aħna nħallsu bounties fuq vulnerabilitajiet jew kwistjonijiet relatati mas-sigurtà li jiġu skoperti. Biex tithallas, dan li ġej irid ikun veru.

#1 Il-vulnerabilità trid tkun unika 
Jekk nirċievu rapporti multipli, l-ewwel wieħed li jirrapporta jieħu l-bounty. Aħna nistgħu, skont id-diskrezzjoni tagħna, inħallsu miżati sekondarji nominali ta' notifika biex nenkuraġġixxu skoperti futuri.

#2 Il-vulnerabilità trid tkun riproduċibbli
Aħna ma nħallsu xejn għal vulnerabilità li ma tistax tiġi riprodotta. Ma nħallsu l-ebda bounties fuq vidjows tal-YouTube li juru vulnerabilità li ma tistax tiġi riprodotta.

#3 Irid ikun hemm xenarju ta' attakk
L-attakk irid ikollu kapaċità ta' distribuzzjoni permezz tas-sistemi tagħna. Jekk jogħġbok spjega l-kapaċità ta' distribuzzjoni. Pereżempju, l-użu tal-API tagħna u mbagħad il-kitba ta' scripts malizzjużi ma jgħoddx, għax dan ma jkun differenti xejn milli tikteb paġna b'scripts malizzjużi.
 

Kif jiġu determinati l-ammonti tal-bounty

Kull kategorija ta' hawn fuq għandha firxa ta' ħlas. Il-post fejn tinżel rapport validu fi ħdan din il-firxa jiddependi minn tliet fatturi:

Privileġġ meħtieġ biex jiġi sfruttat. Bugs mingħajr awtentikazzjoni jinżlu fil-quċċata tal-firxa. Bugs li jeħtieġu utent awtentikat jinżlu fnofs. Bugs li jeħtieġu kuntest privileġġat (team admin, team owner, pjan imħallas, persunal intern) jinżlu fil-qiegħ.

Firxa tal-impatt. Vulnerabilitajiet li jaffettwaw kull utent jew kull mappa jħallsu aktar minn vulnerabilitajiet li jaffettwaw kont wieħed jew tim wieħed li l-attakkant diġà jappartjeni għalih.

Riversibbiltà. Dannu li l-utent affettwat jista' jreġġa' lura permezz ta' flussi normali (pereżempju, reset tal-password) iħallas inqas minn dannu li jippersisti jew li jeħtieġ l-intervent tagħna biex jitreġġa' lura.

Il-kwalità tar-rapport tgħodd ukoll. Kitba ċara b'proof of concept li jaħdem, analiżi tal-kawża u suġġeriment għal rimedju tista' tikseb il-quċċata tal-firxa anke meta l-impatt tekniku waħdu jkun jinżel fin-nofs. Rapporti negliġenti jew spekulattivi jistgħu jaqilgħu l-inqas ammont.

Barra mill-ambitu

Dawn li ġejjin mhumiex eliġibbli għal bounty:

Mapep tal-komunità anonimi. Mapep mingħajr sid li jistgħu jiġu editjati minn kulħadd huma karatteristika tal-komunità li ilha teżisti. Is-salvataġġ fuq mappa anonima mhuwiex vulnerabilità.

Mapep mhux elenkati (URL-as-credential). Mapep mingħajr LockView huma intenzjonalment aċċessibbli għal kull min jaf l-URL, simili għal vidjo mhux elenkat tal-YouTube. L-aċċess jew is-salvataġġ ta' mappa bħal din billi tkun taf il-map code tagħha huwa bi disinn.

Software ta' partijiet terzi li nospitaw iżda ma nmantnux. Kwistjonijiet f'GeoServer, Tomcat, jew stacks oħra ta' partijiet terzi skjerati flimkien mas-servizzi tagħna. Jekk jogħġbok irrapporta dawn lill-maintainers upstream rispettivi.

Headers tas-sigurtà nieqsa mingħajr xenarju konkret ta' attakk. Rapporti dwar CSP, X-Frame-Options, HSTS, eċċ. mingħajr exploit li jaħdem mhumiex eliġibbli.

Rate limiting waħdu. In-nuqqas ta' rate limiting fuq endpoints fejn ir-rate limiting mhuwiex kritiku għas-sigurtà, mingħajr xenarju murija ta' abbuż.

Użu tal-AI

Aħna nużaw l-AI biex nagħmlu validazzjoni inizjali għat-triage. Kultant tagħmel żbalji, aħna nagħmlu reviżjonijiet mill-bniedem fuq kull wieħed, madankollu, jekk taħseb li l-AI għamlet żball kbir inizjalment, żid nota mas-submission b'aktar kuntest eċċ..compromise any

Użu ta' Burp / Endpoints

Aħna nużaw għodod bħal burp għal scans veloċi. B'mod ġenerali nippreferu li ma tagħmilx dawn l-iscans fuqna għax li nbaqgħu nirċievu eluf ta' requests sempliċement iqiegħed tagħbija bla bżonn fuq is-servers tagħna. 

Biex insalvawlek xi ħin, hawn xi endpoints: 

https://www.scribblemaps.com/ 
(Jekk tagħmel scan, ibblokka l-path /maps/ għax dan jibgħat l-iscanners f'rabbit hole) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pagamenti

M'hemm l-ebda garanzija dwar skedi ta' żmien tal-ħlas. Aħna nallokaw baġit ta' kull xahar, b'kwistjonijiet severi dejjem jitħallsu l-ewwel. Aħna nagħmlu pagamenti biss permezz ta' wise jew paypal.
 

Telf tal-Bounty

Il-validazzjoni jew l-aċċettazzjoni ta' rapport tistabbilixxi eliġibbiltà għal premju, mhux dritt bla kundizzjonijiet għalih. ScribbleMaps jista' inaqqas jew iżomm bounty kollu jew parti minnu meta l-kondotta ta' riċerkatur tikser dawn it-termini jew il-prinċipji ta' divulgazzjoni kkoordinata fil-bona fide. It-telf huwa skont id-diskrezzjoni ta' ScribbleMaps; ir-raġuni tiġi rreġistrata fuq ir-rapport u kkomunikata lir-riċerkatur.

Bounty li altrimenti jkun pagabbli jista' jintilef għal xi waħda minn dawn li ġejjin:

1. Divulgazzjoni pubblika prematura jew mhedda. Id-divulgazzjoni tal-vulnerabilità — jew theddid li tiġi divulgata — pubblikament, lil partijiet terzi, jew permezz ta' kanali tal-media/soċjali qabel ma ScribbleMaps ikun irrimedja l-kwistjoni u awtorizza d-divulgazzjoni. Id-divulgazzjoni kkoordinata hija kundizzjoni tal-programm.
2. Koerċizzjoni, estorsjoni, jew fastidju. Il-kundizzjonar tan-nuqqas ta' divulgazzjoni fuq ħlas; theddid jew pressjoni fuq il-persunal; jew użu tal-kanali ta' support, billing, jew tar-reporter biex titlob il-ħlas b'mod ripetut jew abbużiv. Mistoqsijiet dwar l-istatus tal-premju għandhom jitqajmu permezz tal-bounty portal, li ScribbleMaps se jwieġeb.
3. Identitajiet multipli jew duplikati. It-tħaddim ta' aktar minn kont wieħed ta' riċerkatur, jew it-trasferiment ta' premji għal kontijiet separati lejn indirizz ta' ħlas kondiviż, biex jiżdied il-volum ta' submissions jew il-premji.
4. Kollużjoni jew sejbiet fabbrikati. Il-koordinazzjoni ta' submissions bejn kontijiet, l-użu tal-kont jew tal-mapep ta' parteċipant ieħor bħala l-“vittma” f'proof of concept, jew il-fabbrikazzjoni ta' stat ta' dejta li l-prodott ma jistax jipproduċi u mbagħad iċ-ċitazzjoni tad-dejta li tirriżulta bħala tnixxija.
5. Spam bi sforz baxx jew awtomatizzat. Submissions bl-ingrossa ta' output ta' scanners awtomatizzati, listi ta' libreriji skaduti/CVE, jew affarijiet magħrufa barra mill-ambitu (ara Barra mill-ambitu) mingħajr exploit murija speċifika għal ScribbleMaps.
6. Ittestjar ta' ħsara jew illegali. L-aċċess, l-alterazzjoni, jew l-eksfiltrazzjoni tad-dejta ta' utenti oħra lil hinn mill-minimu meħtieġ biex tiġi murija l-kwistjoni; id-degradazzjoni jew in-nuqqas ta' servizz; l-inġinerija soċjali tal-persunal jew tal-utenti; jew kwalunkwe attività pprojbita mill-ambitu tal-programm jew mil-liġi applikabbli.
7. Misrappreżentazzjoni jew frodi. Il-falsifikazzjoni ta' passi ta' riproduzzjoni, evidenza, dati ta' skoperta, jew identità.

Noti.

• It-telf jista' jkun parzjali (premju mnaqqas) jew sħiħ ($0).
• Rapport validat li jintilef minħabba kondotta ħażina mhuwiex eliġibbli mill-ġdid għall-istess sejba.
• Dawn it-termini japplikaw mill-mument tas-submission u jiġu mtenija fin-notifika ta' aċċettazzjoni mibgħuta meta rapport jiġi aċċettat.

Biex Tibgħat Rapport

Jekk jogħġbok żur: https://api.scribblemaps.com/vulnerabilities

Is-sit jinkludi wkoll istruzzjonijiet dwar kif tibgħat rapporti permezz tal-AI. Trid tidħol (log in) biex tibgħat rapport.

Punti legali

Ma nistgħux nagħtu premji lil individwi li jinsabu fuq listi ta' sanzjonijiet, jew li jinsabu f'pajjiżi (eż. Kuba, Iran, il-Korea ta' Fuq, is-Sudan u s-Sirja) li jinsabu fuq listi ta' sanzjonijiet. Int responsabbli għal kwalunkwe implikazzjoni fiskali skont il-pajjiż ta' residenza u ċ-ċittadinanza tiegħek. Jista' jkun hemm restrizzjonijiet addizzjonali fuq il-kapaċità tiegħek li tipparteċipa skont il-liġi lokali tiegħek.

Din mhijiex kompetizzjoni, iżda programm ta' premji sperimentali u diskrezzjonali. Għandek tifhem li nistgħu nikkanċellaw il-programm fi kwalunkwe ħin, u d-deċiżjoni dwar jekk nħallsux premju jew le trid tkun kompletament skont id-diskrezzjoni tagħna.

Naturalment, l-ittestjar tiegħek ma jridx jikser ebda liġi, jew ifixkel jew jikkomprometti dejta li mhijiex tiegħek.