Sårbarheter og dusører

Vi betaler dusører for oppdagede sårbarheter eller sikkerhetsrelaterte problemer. For å få utbetalt dusør må følgende være oppfylt.

#1 Sårbarheten må være unik 
Hvis vi mottar flere rapporter, er det den første som rapporterer som får dusøren. Vi kan etter eget skjønn utbetale nominelle sekundære varslingsgebyrer for å oppmuntre til fremtidige oppdagelser.

#2 Sårbarheten må kunne reproduseres
Vi betaler ikke for sårbarheter som ikke kan reproduseres. Vi betaler ikke dusør for YouTube-videoer som demonstrerer en sårbarhet som ikke kan reproduseres.

#3 Må ha et angrepsscenario
Angrepet må ha mulighet for distribusjon gjennom våre systemer. Vennligst forklar distribusjonsmuligheten. For eksempel vil det å utnytte API-et vårt og deretter skrive skadelige skript ikke telle, da dette ikke ville vært annerledes enn å bare skrive en side med skadelige skript.
 

Slik fastsettes dusørbeløpene

Hver kategori ovenfor har et utbetalingsintervall. Hvor en gyldig rapport havner innenfor intervallet, avhenger av tre faktorer:

Nødvendige rettigheter for å utnytte sårbarheten. Feil som kan utnyttes uten pålogging havner øverst i intervallet. Feil som krever en autentisert bruker havner i midten. Feil som krever en privilegert kontekst (teamadministrator, teameier, betalt abonnement, intern ansatt) havner nederst.

Spredningsomfang. Sårbarheter som påvirker alle brukere eller alle kart gir høyere utbetaling enn sårbarheter som påvirker en enkelt konto eller et enkelt team angriperen allerede tilhører.

Reversibilitet. Skade som den berørte brukeren kan angre gjennom vanlige arbeidsflyter (for eksempel tilbakestilling av passord) gir lavere utbetaling enn skade som vedvarer eller som krever vår inngripen for å angres.

Rapportens kvalitet spiller også inn. En tydelig fremstilling med et fungerende proof of concept, rotårsaksanalyse og et forslag til utbedring kan gi toppen av intervallet selv når den tekniske effekten alene ville havnet midt i intervallet. Slurvete eller spekulative rapporter kan gi bunnen av intervallet.

Utenfor omfang

Følgende er ikke berettiget til dusør:

Anonyme fellesskapskart. Kart uten eier som kan redigeres av hvem som helst, er en mangeårig fellesskapsfunksjon. Å lagre over et anonymt kart er ikke en sårbarhet.

Ikke oppførte (URL-som-legitimasjon) kart. Kart uten LockView er bevisst tilgjengelige for alle som kjenner URL-en, på samme måte som en uoppført YouTube-video. Å få tilgang til eller lagre et slikt kart ved å kjenne kartkoden er tilsiktet.

Tredjepartsprogramvare vi hoster, men ikke vedlikeholder. Problemer i GeoServer, Tomcat eller andre tredjepartsstakker som er satt opp ved siden av tjenestene våre. Vennligst rapporter disse til de respektive oppstrøms vedlikeholderne.

Manglende sikkerhetshoder uten et konkret angrepsscenario. Rapporter om CSP, X-Frame-Options, HSTS osv. uten en fungerende utnyttelse er ikke berettiget.

Rate limiting isolert sett. Mangel på rate limiting på endepunkter der rate limiting ikke er sikkerhetskritisk, uten et påvist misbruksscenario.

Bruk av KI

Vi bruker KI til innledende validering ved triagering. Den gjør av og til feil, og vi gjennomfører menneskelig gjennomgang av hver rapport. Hvis du mener at KI-en har gjort en stor feil innledningsvis, legg ved et notat i innsendingen med ytterligere kontekst osv..compromise any

Bruk av Burp / endepunkter

Vi bruker verktøy som Burp for raske skanninger. Vi foretrekker generelt at du ikke kjører slike skanninger mot oss, siden tusenvis av forespørsler bare setter unødvendig belastning på serverne våre. 

For å spare deg for litt tid er her noen endepunkter: 

https://www.scribblemaps.com/ 
(Hvis du kjører en skanning, blokker /maps/-stien, da dette vil sende skannere ned i et kaninhull) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Utbetalinger

Det gis ingen garantier for tidslinjer for utbetaling. Vi setter av et månedlig budsjett, og alvorlige problemer blir alltid betalt først. Vi gjør bare utbetalinger via Wise eller PayPal.
 

Bortfall av dusør

Å validere eller godta en rapport etablerer berettigelse til en belønning, ikke en ubetinget rett til en. ScribbleMaps kan redusere eller holde tilbake en dusør helt eller delvis når en forskers oppførsel bryter disse vilkårene eller prinsippene for koordinert avsløring i god tro. Bortfall skjer etter ScribbleMaps' skjønn; årsaken registreres på rapporten og meddeles forskeren.

En dusør som ellers ville vært utbetalbar, kan bortfalle av en av følgende grunner:

1. For tidlig eller truet offentlig avsløring. Å avsløre sårbarheten – eller true med å avsløre den – offentlig, til tredjeparter eller gjennom medier/sosiale kanaler før ScribbleMaps har utbedret problemet og godkjent avsløring. Koordinert avsløring er en betingelse for programmet.
2. Tvang, utpressing eller trakassering. Å gjøre taushet betinget av betaling; å true eller legge press på ansatte; eller å bruke support-, fakturerings- eller rapportørkanaler til gjentatte eller krenkende krav om betaling. Spørsmål om status på belønning bør tas opp gjennom dusørportalen, som ScribbleMaps vil svare på.
3. Flere eller dupliserte identiteter. Å drive mer enn én forskerkonto, eller å rute belønninger for separate kontoer til en felles betalingsadresse, for å blåse opp antall innsendinger eller belønninger.
4. Samarbeid eller konstruerte funn. Å koordinere innsendinger på tvers av kontoer, bruke en annen deltakers konto eller kart som «offer» i et proof of concept, eller å konstruere en datatilstand produktet ikke kan frembringe og deretter vise til de resulterende dataene som en lekkasje.
5. Innsats av lav kvalitet eller automatisert søppel. Masseinnsendinger av automatisert skannerutdata, lister over utdaterte biblioteker/CVE-er eller kjente elementer utenfor omfang (se Utenfor omfang) uten en påvist, ScribbleMaps-spesifikk utnyttelse.
6. Skadelig eller ulovlig testing. Å få tilgang til, endre eller eksfiltrere andre brukeres data utover det minimum som trengs for å demonstrere problemet; å forringe eller nekte tjeneste; å bruke sosial manipulering mot ansatte eller brukere; eller enhver aktivitet som er forbudt av programmets omfang eller gjeldende lov.
7. Uriktige opplysninger eller svindel. Å forfalske reproduksjonstrinn, bevis, oppdagelsesdatoer eller identitet.

Notater.

• Bortfall kan være delvis (en redusert belønning) eller fullstendig ($0).
• En validert rapport som bortfaller på grunn av uredelig oppførsel, er ikke berettiget på nytt for samme funn.
• Disse vilkårene gjelder fra innsendingstidspunktet og gjentas i godkjenningsmeldingen som sendes når en rapport godtas.

Slik sender du inn en rapport

Vennligst besøk: https://api.scribblemaps.com/vulnerabilities

Nettstedet inneholder også instruksjoner for hvordan du sender inn rapporter via KI. Du må logge inn for å sende inn en rapport.

Juridiske punkter

Vi kan ikke utstede belønninger til personer som står på sanksjonslister, eller som befinner seg i land (f.eks. Cuba, Iran, Nord-Korea, Sudan og Syria) som står på sanksjonslister. Du er selv ansvarlig for eventuelle skattemessige konsekvenser avhengig av bostedsland og statsborgerskap. Det kan gjelde ytterligere begrensninger for din mulighet til å delta, avhengig av lokal lovgivning.

Dette er ikke en konkurranse, men et eksperimentelt og skjønnsbasert belønningsprogram. Du bør forstå at vi kan avslutte programmet når som helst, og at beslutningen om en belønning skal utbetales eller ikke, helt og holdent er etter vårt skjønn.

Selvfølgelig må testingen din ikke bryte noen lov, eller forstyrre eller kompromittere data som ikke er dine egne.