Рањивости и награде

Исплаћујемо награде за откривене рањивости или проблеме везане за безбедност. Да бисте добили исплату, морају бити испуњени следећи услови.

#1 Рањивост мора бити јединствена 
Ако примимо више пријава, први који пријави добија награду. По сопственом нахођењу, можемо исплатити номиналне секундарне накнаде за обавештење како бисмо подстакли будућа открића.

#2 Рањивост мора бити поновљива
Нећемо платити ниједну рањивост која се не може репродуковати. Нећемо исплаћивати награде за YouTube видео снимке који приказују рањивост која се не може репродуковати.

#3 Мора постојати сценарио напада
Напад мора имати могућност дистрибуције кроз наше системе. Молимо вас да објасните могућност дистрибуције. На пример, коришћење нашег API-ја и писање злонамерних скрипти не би се рачунало јер то не би било ништа другачије од писања странице са злонамерним скриптама.
 

Како се одређују износи награда

Свака од горњих категорија има распон исплате. Где у свом распону пада валидна пријава зависи од три фактора:

Привилегија потребна за експлоатацију. Грешке без аутентификације су при врху распона. Грешке које захтевају аутентификованог корисника су у средини. Грешке које захтевају привилегован контекст (администратор тима, власник тима, плаћени план, интерно особље) су при дну.

Обим утицаја. Рањивости које утичу на сваког корисника или сваку мапу плаћају се више од рањивости које утичу на један налог или један тим коме нападач већ припада.

Могућност поништавања. Штета коју захваћени корисник може поништити уобичајеним токовима рада (на пример, ресетовањем лозинке) плаћа се мање од штете која остаје или чије поништавање захтева нашу интервенцију.

Квалитет пријаве такође игра улогу. Јасан опис са функционалним доказом концепта, анализом основног узрока и предлогом за отклањање може зарадити врх распона чак и када би сам технички утицај пао у средину. Aљкаве или спекулативне пријаве могу зарадити дно.

Ван оквира

Следеће не испуњава услове за награду:

Анонимне мапе заједнице. Мапе без власника које свако може да уређује су дугогодишња функција заједнице. Чување преко анонимне мапе није рањивост.

Мапе које су Није на листи (URL као акредитив). Мапе без LockView су намерно доступне свакоме ко зна URL, слично необјављеном YouTube видеу. Приступ таквој мапи или њено чување познавањем њеног кода мапе је по дизајну.

Софтвер трећих страна који хостујемо, али не одржавамо. Проблеми у GeoServer-у, Tomcat-у или другим стековима трећих страна постављеним уз наше услуге. Молимо вас да то пријавите одговарајућим одржаваоцима.

Недостајућа безбедносна заглавља без конкретног сценарија напада. Пријаве о CSP, X-Frame-Options, HSTS итд. без функционалног експлоита не испуњавају услове.

Ограничавање стопе саме по себи. Недостатак ограничавања стопе на крајњим тачкама где ограничавање стопе није критично за безбедност, без демонстрираног сценарија злоупотребе.

Употреба AI-ја

Користимо AI за почетну валидацију приликом сортирања. Понекад прави грешке, а сваку пријаву ручно прегледамо, међутим, ако мислите да је AI на почетку направио велику грешку, додајте Белешке пријави са додатним контекстом итд..compromise any

Употреба Burp-а / крајње тачке

Користимо алате као што је burp за брза скенирања. Углавном нам је draže да не радите ова скенирања на нама јер слање хиљада захтева само ствара непотребно оптерећење на нашим серверима. 

Да бисмо вам уштедели мало времена, ево неких крајњих тачака: 

https://www.scribblemaps.com/ 
(Ако радите скенирање, блокирајте путању /maps/ јер ће то послати скенере у зечју рупу) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Исплате

Не постоје гаранције за рокове исплате. Одвајамо месечни буџет, при чему се озбиљни проблеми увек плаћају први. Исплате вршимо само преко wise-а или paypal-а.
 

Губитак награде

Валидирање или прихватање пријаве утврђује право на награду, а не безусловно потраживање исте. ScribbleMaps може смањити или ускратити награду у целини или делимично када понашање истраживача крши ове услове или принципе координисаног откривања у доброј намери. Губитак награде је по нахођењу ScribbleMaps-а; разлог се бележи у пријави и саопштава истраживачу.

Награда која би иначе била исплатива може бити изгубљена из било ког од следећих разлога:

1. Прерано или запрећено јавно откривање. Откривање рањивости — или претња откривањем — јавно, трећим странама или преко медијских/друштвених канала пре него што је ScribbleMaps отклонио проблем и одобрио откривање. Координисано откривање је услов програма.
2. Принуда, изнуда или узнемиравање. Условљавање необјављивања исплатом; претње или притисак на особље; или коришћење канала подршке, наплате или пријавитеља за поновљене или злостављачке захтеве за исплату. Питања о статусу награде треба поставити преко портала за награде, на који ће ScribbleMaps одговорити.
3. Више идентитета или дупликати идентитета. Вођење више од једног налога истраживача, или усмеравање награда за одвојене налоге на заједничку адресу за исплату, ради повећања броја пријава или награда.
4. Договор или измишљени налази. Координисање пријава преко налога, коришћење налога или мапа другог учесника као „жртве“ у доказу концепта, или измишљање стања података које производ не може произвести, а затим навођење добијених података као цурења.
5. Нискоквалитетан или аутоматизован спам. Групно слање излаза аутоматских скенера, листа застарелих библиотека/CVE-ова или познатих ставки ван оквира (видети Ван оквира) без демонстрираног експлоита специфичног за ScribbleMaps.
6. Штетно или незаконито тестирање. Приступ, измена или ексфилтрација података других корисника изнад минимума потребног за демонстрирање проблема; нарушавање или ускраћивање услуге; социјални инжењеринг над особљем или корисницима; или било која активност забрањена оквиром програма или важећим законом.
7. Погрешно представљање или превара. Фалсификовање корака репродукције, доказа, датума открића или идентитета.

Белешке.

• Губитак награде може бити делимичан (смањена награда) или потпун ($0).
• Валидирана пријава која је изгубљена због лошег понашања не испуњава поново услове за исти налаз.
• Ови услови важе од тренутка слања и понављају се у обавештењу о прихватању које се шаље када се пријава прихвати.

Како послати пријаву

Молимо посетите: https://api.scribblemaps.com/vulnerabilities

Сајт такође садржи упутства о томе како слати пријаве преко AI-ја. Морате се пријавити да бисте послали пријаву.

Правне напомене

Не можемо издавати награде особама које се налазе на листама санкција, или које се налазе у земљама (нпр. Куба, Иран, Северна Кореја, Судан и Сирија) које се налазе на листама санкција. Ви сте одговорни за све пореске последице у зависности од ваше земље пребивалишта и држављанства. Могу постојати додатна ограничења вашег учешћа у зависности од локалног закона.

Ово није такмичење, већ експериментални програм награда по нахођењу. Треба да разумете да можемо отказати програм у било ком тренутку, и да одлука о томе да ли ћемо исплатити награду мора бити у потпуности по нашем нахођењу.

Наравно, ваше тестирање не сме кршити ниједан закон, нити ометати или компромитовати било које податке који нису ваши.