Zraniteľnosti a odmeny

Za objavené zraniteľnosti alebo problémy súvisiace s bezpečnosťou vyplácame odmeny. Aby ste odmenu dostali, musia byť splnené nasledujúce podmienky.

#1 Zraniteľnosť musí byť jedinečná 
Ak dostaneme viacero hlásení, odmenu dostane ten, kto zraniteľnosť nahlásil ako prvý. Podľa vlastného uváženia môžeme vyplatiť nominálne poplatky za sekundárne oznámenie, aby sme povzbudili budúce objavy.

#2 Zraniteľnosť musí byť reprodukovateľná
Nezaplatíme za žiadnu zraniteľnosť, ktorú nemožno reprodukovať. Nevyplatíme odmeny za videá na YouTube, ktoré demonštrujú zraniteľnosť, ktorú nemožno reprodukovať.

#3 Musí existovať scenár útoku
Útok musí mať schopnosť šírenia cez naše systémy. Vysvetlite, prosím, schopnosť šírenia. Napríklad využitie nášho API a následné písanie škodlivých skriptov by sa nepočítalo, keďže by to nebolo nijako odlišné od jednoduchého napísania stránky so škodlivými skriptami.
 

Ako sa určuje výška odmeny

Každá z vyššie uvedených kategórií má rozsah výplaty. Kde sa platné hlásenie v rámci tohto rozsahu umiestni, závisí od troch faktorov:

Oprávnenia potrebné na zneužitie. Chyby bez autentifikácie sa umiestnia na vrchu rozsahu. Chyby, ktoré vyžadujú autentifikovaného používateľa, sa umiestnia v strede. Chyby, ktoré vyžadujú privilegovaný kontext (správca tímu, vlastník tímu, platený plán, interní zamestnanci), sa umiestnia na spodku.

Dosah. Zraniteľnosti ovplyvňujúce každého používateľa alebo každú mapu sa platia viac ako zraniteľnosti ovplyvňujúce jeden účet alebo jeden tím, do ktorého útočník už patrí.

Vratnosť. Škoda, ktorú môže postihnutý používateľ vrátiť späť bežnými postupmi (napríklad resetovaním hesla), sa platí menej než škoda, ktorá pretrváva alebo si vyžaduje náš zásah.

Do úvahy sa berie aj kvalita hlásenia. Jasný popis s funkčným dôkazom konceptu, analýzou základnej príčiny a návrhom nápravy môže získať vrch rozsahu, aj keď by samotný technický dopad zodpovedal strednému pásmu. Nedbalé alebo špekulatívne hlásenia môžu získať spodok.

Mimo rozsahu

Na odmenu nie sú oprávnené nasledujúce veci:

Anonymné komunitné mapy. Mapy bez vlastníka, ktoré môže upravovať ktokoľvek, sú dlhodobou komunitnou funkciou. Prepísanie anonymnej mapy nie je zraniteľnosťou.

Neuvedené mapy (URL ako poverenie). Mapy bez LockView sú zámerne dostupné každému, kto pozná URL, podobne ako neuvedené video na YouTube. Prístup k takejto mape alebo jej uloženie na základe znalosti kódu mapy je zámerné.

Softvér tretích strán, ktorý hostujeme, ale neudržiavame. Problémy v GeoServer, Tomcat alebo iných stackoch tretích strán nasadených popri našich službách. Nahláste ich, prosím, príslušným upstream správcom.

Chýbajúce bezpečnostné hlavičky bez konkrétneho scenára útoku. Hlásenia o CSP, X-Frame-Options, HSTS atď. bez funkčného exploitu nie sú oprávnené.

Obmedzovanie rýchlosti (rate limiting) samo osebe. Chýbajúce obmedzovanie rýchlosti na koncových bodoch, kde nie je bezpečnostne kritické, bez preukázaného scenára zneužitia.

Používanie AI

Na počiatočnú validáciu pri triedení využívame AI. Niekedy sa pomýli, každé hlásenie však kontroluje aj človek. Ak si myslíte, že AI na začiatku urobila veľkú chybu, pridajte k odoslaniu poznámku s ďalším kontextom atď..compromise any

Používanie Burp / koncové body

Na rýchle skenovanie používame nástroje ako Burp. Zvyčajne preferujeme, aby ste tieto skeny na nás nerobili, pretože tisíce požiadaviek zbytočne zaťažuje naše servery. 

Aby sme vám ušetrili čas, tu sú koncové body: 

https://www.scribblemaps.com/ 
(Ak robíte sken, zablokujte cestu /maps/, pretože tá pošle skenery do králičej nory.) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Platby

Na termíny platieb neposkytujeme žiadne záruky. Prideľujeme mesačný rozpočet, pričom závažné problémy sa vždy platia ako prvé. Platby robíme iba cez Wise alebo PayPal.
 

Prepadnutie odmeny

Overenie alebo prijatie hlásenia zakladá nárok na odmenu, nie bezpodmienečný nárok na jej vyplatenie. ScribbleMaps môže odmenu znížiť alebo zadržať celú alebo sčasti, ak správanie výskumníka porušuje tieto podmienky alebo zásady koordinovaného zverejňovania v dobrej viere. Prepadnutie je na uvážení ScribbleMaps; dôvod sa zaznamená v hlásení a oznámi výskumníkovi.

Odmena, ktorá by inak bola splatná, môže prepadnúť z ktoréhokoľvek z týchto dôvodov:

1. Predčasné alebo vyhrážané zverejnenie. Zverejnenie zraniteľnosti — alebo vyhrážanie sa jej zverejnením — verejne, tretím stranám alebo cez médiá/sociálne siete skôr, než ScribbleMaps problém odstránil a povolil zverejnenie. Koordinované zverejnenie je podmienkou programu.
2. Nátlak, vydieranie alebo obťažovanie. Podmieňovanie nezverejnenia platbou; vyhrážanie sa alebo nátlak na zamestnancov; alebo opakované či zneužívajúce požadovanie platby cez podporu, fakturáciu alebo kanály pre nahlasovateľov. Otázky o stave odmeny treba položiť cez portál odmien, na ktorý ScribbleMaps odpovie.
3. Viaceré alebo duplicitné identity. Prevádzkovanie viac ako jedného účtu výskumníka alebo smerovanie odmien za samostatné účty na spoločnú platobnú adresu s cieľom nafúknuť objem odoslaní alebo odmien.
4. Tajná dohoda alebo vyrobené nálezy. Koordinovanie odoslaní medzi účtami, používanie účtu alebo máp iného účastníka ako „obete“ v dôkaze konceptu, alebo vyrobenie stavu údajov, ktorý produkt nedokáže vytvoriť, a následné uvedenie výsledných údajov ako úniku.
5. Nekvalitný alebo automatizovaný spam. Hromadné odosielanie výstupov automatizovaných skenerov, zoznamov zastaraných knižníc/CVE alebo známych položiek mimo rozsahu (pozri Mimo rozsahu) bez preukázaného exploitu špecifického pre ScribbleMaps.
6. Škodlivé alebo protiprávne testovanie. Prístup k údajom iných používateľov, ich zmena alebo exfiltrácia nad rámec minima potrebného na demonštráciu problému; zhoršovanie alebo odopieranie služby; sociálne inžinierstvo voči zamestnancom alebo používateľom; alebo akákoľvek činnosť zakázaná rozsahom programu alebo platným právom.
7. Skreslenie skutočností alebo podvod. Falšovanie krokov reprodukcie, dôkazov, dátumov objavenia alebo identity.

Poznámky.

• Prepadnutie môže byť čiastočné (znížená odmena) alebo úplné ($0).
• Overené hlásenie, ktoré prepadlo pre nesprávne správanie, nie je znova oprávnené pre ten istý nález.
• Tieto podmienky platia od okamihu odoslania a sú zopakované v oznámení o prijatí, ktoré sa posiela pri prijatí hlásenia.

Ako odoslať hlásenie

Navštívte, prosím: https://api.scribblemaps.com/vulnerabilities

Stránka obsahuje aj pokyny, ako odosielať hlásenia pomocou AI. Na odoslanie hlásenia sa musíte prihlásiť.

Právne body

Nemôžeme vyplácať odmeny osobám, ktoré sú na sankčných zoznamoch, alebo ktoré sa nachádzajú v krajinách (napr. Kuba, Irán, Severná Kórea, Sudán a Sýria) na sankčných zoznamoch. Za akékoľvek daňové dôsledky v závislosti od vašej krajiny pobytu a občianstva zodpovedáte vy. V závislosti od miestnych zákonov môžu existovať dodatočné obmedzenia vašej možnosti zúčastniť sa.

Nejde o súťaž, ale o experimentálny a diskrečný program odmien. Mali by ste vedieť, že program môžeme kedykoľvek zrušiť a rozhodnutie, či odmenu vyplatíme, je výlučne na našom uvážení.

Samozrejme, vaše testovanie nesmie porušovať žiadny zákon ani narúšať alebo ohrozovať údaje, ktoré nie sú vaše.