Ranljivosti in nagrade

Za odkrite ranljivosti ali težave, povezane z varnostjo, izplačujemo nagrade. Da boste prejeli plačilo, morajo biti izpolnjeni naslednji pogoji.

#1 Ranljivost mora biti edinstvena 
Če prejmemo več poročil, bo nagrado prejel prvi, ki je ranljivost prijavil. Po lastni presoji lahko izplačamo simbolična sekundarna nadomestila za obvestilo, da spodbudimo prihodnja odkritja.

#2 Ranljivost mora biti ponovljiva
Ne bomo plačali za nobeno ranljivost, ki je ni mogoče ponoviti. Nagrad ne bomo izplačali za videoposnetke na YouTubu, ki prikazujejo ranljivost, ki je ni mogoče ponoviti.

#3 Imeti mora scenarij napada
Napad mora imeti zmožnost distribucije prek naših sistemov. Prosimo, pojasnite zmožnost distribucije. Na primer, izkoriščanje našega API-ja in nato pisanje zlonamernih skript se ne šteje, saj to ne bi bilo nič drugače kot pisanje strani z zlonamernimi skriptami.
 

Kako se določijo zneski nagrad

Vsaka zgornja kategorija ima razpon izplačila. Kje v razponu pristane veljavno poročilo, je odvisno od treh dejavnikov:

Privilegij, potreben za izkoriščanje. Napake brez overitve so na vrhu razpona. Napake, ki zahtevajo overjenega uporabnika, so na sredini. Napake, ki zahtevajo privilegiran kontekst (skrbnik ekipe, lastnik ekipe, plačljiv paket, notranje osebje), so na dnu.

Obseg posledic. Ranljivosti, ki vplivajo na vse uporabnike ali vse zemljevide, se plačajo bolje kot ranljivosti, ki vplivajo na en sam račun ali eno samo ekipo, ki ji napadalec že pripada.

Povratnost. Škoda, ki jo prizadeti uporabnik lahko razveljavi z običajnimi postopki (na primer ponastavitev gesla), se plača manj kot škoda, ki ostane ali za katere razveljavitev je potreben naš poseg.

Pomembna je tudi kakovost poročila. Jasen opis z delujočim dokazom koncepta, analizo temeljnega vzroka in predlogom za odpravo lahko prinese vrh razpona, tudi kadar bi tehnični vpliv sam po sebi pristal na sredini. Površna ali špekulativna poročila lahko prinesejo dno razpona.

Izven obsega

Za naslednje nagrada ni mogoča:

Anonimni skupnostni zemljevidi. Zemljevidi brez lastnika, ki jih lahko ureja kdorkoli, so dolgoletna funkcija skupnosti. Prepisovanje anonimnega zemljevida ni ranljivost.

Nenavedeni (URL kot poverilnica) zemljevidi. Zemljevidi brez LockView so namerno dostopni vsakomur, ki pozna URL, podobno kot nenavedeni videoposnetek na YouTubu. Dostop do takega zemljevida ali njegovo shranjevanje s poznavanjem kode zemljevida je zasnovano tako.

Programska oprema tretjih oseb, ki jo gostimo, a ne vzdržujemo. Težave v GeoServerju, Tomcatu ali drugih sklopih tretjih oseb, nameščenih ob naših storitvah. Prosimo, prijavite jih ustreznim vzdrževalcem.

Manjkajoče varnostne glave brez konkretnega scenarija napada. Poročila o CSP, X-Frame-Options, HSTS itd. brez delujočega izkoristka niso upravičena.

Omejevanje hitrosti samo po sebi. Pomanjkanje omejevanja hitrosti na končnih točkah, kjer omejevanje hitrosti ni varnostno kritično, brez prikazanega scenarija zlorabe.

Uporaba umetne inteligence

Umetno inteligenco uporabljamo za začetno validacijo pri razvrščanju. Včasih naredi napake; vsako poročilo pregleda tudi človek, vendar če menite, da je umetna inteligenca na začetku naredila veliko napako, oddaji dodajte opombo z dodatnim kontekstom itd..compromise any

Uporaba Burp / končne točke

Za hitra skeniranja uporabljamo orodja, kot je Burp. Na splošno raje vidimo, da teh skeniranj ne izvajate na nas, saj tisoče zahtev po nepotrebnem obremenjuje naše strežnike. 

Da vam prihranimo nekaj časa, tukaj je nekaj končnih točk: 

https://www.scribblemaps.com/ 
(Če izvajate skeniranje, blokirajte pot /maps/, saj bo to skenerje popeljalo v zajčjo luknjo) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Plačila

Za časovnico plačil ni nobenih jamstev. Dodelimo mesečni proračun, pri čemer se resne težave vedno plačajo prve. Plačila izvajamo samo prek Wise ali PayPal.
 

Izguba nagrade

Potrditev ali sprejem poročila vzpostavi upravičenost do nagrade, ne pa brezpogojne pravice do nje. ScribbleMaps lahko nagrado v celoti ali delno zmanjša ali zadrži, kadar ravnanje raziskovalca krši te pogoje ali načela dobrovernega usklajenega razkritja. Izguba nagrade je prepuščena presoji podjetja ScribbleMaps; razlog se zabeleži pri poročilu in sporoči raziskovalcu.

Nagrada, ki bi bila sicer izplačljiva, je lahko izgubljena zaradi katerega koli od naslednjega:

1. Prezgodnje ali grozeče javno razkritje. Razkritje ranljivosti – ali grožnja z razkritjem – javno, tretjim osebam ali prek medijskih/družbenih kanalov, preden je ScribbleMaps težavo odpravil in odobril razkritje. Usklajeno razkritje je pogoj programa.
2. Prisila, izsiljevanje ali nadlegovanje. Pogojevanje nerazkritja s plačilom; grožnje osebju ali pritiskanje nanj; ali uporaba kanalov za podporo, obračunavanje ali poročevalce za večkratno ali žaljivo zahtevanje plačila. Vprašanja o stanju nagrade je treba postaviti prek portala za nagrade, na katerega bo ScribbleMaps odgovoril.
3. Več identitet ali podvojene identitete. Upravljanje več kot enega računa raziskovalca ali usmerjanje nagrad za ločene račune na skupen plačilni naslov, da bi povečali obseg oddaj ali nagrad.
4. Dogovarjanje ali izmišljena odkritja. Usklajevanje oddaj med računi, uporaba računa ali zemljevidov drugega udeleženca kot »žrtve« v dokazu koncepta ali ustvarjanje stanja podatkov, ki ga izdelek ne more ustvariti, in nato sklicevanje na nastale podatke kot uhajanje.
5. Nizkokakovostno ali avtomatizirano nezaželeno pošiljanje. Skupinske oddaje avtomatiziranih rezultatov skenerjev, seznamov zastarelih knjižnic/CVE ali znanih elementov izven obsega (glejte Izven obsega) brez dokazanega izkoristka, specifičnega za ScribbleMaps.
6. Škodljivo ali nezakonito testiranje. Dostop do podatkov drugih uporabnikov, njihovo spreminjanje ali izvoz preko minimuma, potrebnega za prikaz težave; poslabšanje ali onemogočanje storitve; socialni inženiring osebja ali uporabnikov; ali katera koli dejavnost, ki jo prepoveduje obseg programa ali veljavna zakonodaja.
7. Napačno predstavljanje ali goljufija. Ponarejanje korakov za ponovitev, dokazov, datumov odkritja ali identitete.

Opombe.

• Izguba nagrade je lahko delna (zmanjšana nagrada) ali popolna ($0).
• Potrjeno poročilo, pri katerem je nagrada izgubljena zaradi neprimernega ravnanja, za isto odkritje ni ponovno upravičeno.
• Ti pogoji veljajo od trenutka oddaje in so ponovno navedeni v obvestilu o sprejetju, ki se pošlje ob sprejemu poročila.

Oddaja poročila

Obiščite: https://api.scribblemaps.com/vulnerabilities

Spletno mesto vključuje tudi navodila, kako poročila oddati prek umetne inteligence. Za oddajo poročila se morate prijaviti.

Pravne točke

Nagrad ne moremo izdati posameznikom, ki so na seznamih sankcij, ali tistim, ki so v državah (npr. Kuba, Iran, Severna Koreja, Sudan in Sirija), ki so na seznamih sankcij. Za morebitne davčne posledice ste odgovorni sami, odvisno od vaše države prebivališča in državljanstva. Glede na lokalno zakonodajo lahko veljajo dodatne omejitve za vašo udeležbo.

To ni tekmovanje, temveč poskusni in diskrecijski program nagrad. Zavedati se morate, da lahko program kadar koli prekličemo in da je odločitev o izplačilu nagrade povsem v naši presoji.

Seveda vaše testiranje ne sme kršiti nobenega zakona ali motiti ali ogroziti podatkov, ki niso vaši.