Sårbarheter och belöningar

Vi betalar belöningar för upptäckta sårbarheter eller säkerhetsrelaterade problem. För att få betalt måste följande vara uppfyllt.

#1 Sårbarheten måste vara unik 
Om vi får flera rapporter är det den som rapporterar först som får belöningen. Vi kan, efter eget gottfinnande, betala ut nominella sekundära aviseringsavgifter för att uppmuntra framtida upptäckter.

#2 Sårbarheten måste kunna reproduceras
Vi betalar inte för någon sårbarhet som inte kan reproduceras. Vi betalar inte ut belöningar för YouTube-videor som visar en sårbarhet som inte kan reproduceras.

#3 Måste ha ett attackscenario
Attacken måste ha spridningsförmåga genom våra system. Förklara spridningsförmågan. Att till exempel utnyttja vårt API och sedan skriva skadliga skript räknas inte, eftersom det inte skulle skilja sig från att bara skriva en sida med skadliga skript.
 

Hur belöningsbeloppen bestäms

Varje kategori ovan har ett utbetalningsintervall. Var en giltig rapport hamnar inom sitt intervall beror på tre faktorer:

Behörighet som krävs för att utnyttja sårbarheten. Buggar som kan utnyttjas utan inloggning hamnar högst i intervallet. Buggar som kräver en inloggad användare hamnar i mitten. Buggar som kräver en privilegierad kontext (teamadministratör, teamägare, betalplan, intern personal) hamnar lägst.

Spridningsomfång. Sårbarheter som påverkar alla användare eller alla kartor ger högre belöning än sårbarheter som påverkar ett enskilt konto eller ett enskilt team som angriparen redan tillhör.

Återställningsbarhet. Skada som den drabbade användaren kan ångra genom normala arbetsflöden (till exempel en lösenordsåterställning) ger lägre belöning än skada som kvarstår eller som kräver vår medverkan för att ångras.

Rapportens kvalitet spelar också in. En tydlig beskrivning med ett fungerande proof of concept, grundorsaksanalys och förslag på åtgärd kan ge toppen av intervallet även när den tekniska påverkan i sig skulle hamna mitt i intervallet. Slarviga eller spekulativa rapporter kan hamna längst ned.

Utanför omfattningen

Följande är inte berättigat till belöning:

Anonyma community-kartor. Kartor utan ägare som kan redigeras av vem som helst är en mångårig community-funktion. Att spara över en anonym karta är ingen sårbarhet.

Olistade (URL-som-inloggningsuppgift) kartor. Kartor utan LockView är avsiktligt åtkomliga för alla som känner till URL:en, ungefär som en olistad YouTube-video. Att komma åt eller spara en sådan karta genom att känna till dess kartkod är avsiktligt.

Programvara från tredje part som vi driftar men inte underhåller. Problem i GeoServer, Tomcat eller andra tredjepartsstackar som körs vid sidan av våra tjänster. Rapportera dessa till respektive upstream-underhållare.

Saknade säkerhetsheaders utan ett konkret attackscenario. Rapporter om CSP, X-Frame-Options, HSTS osv. utan en fungerande exploit är inte berättigade.

Rate limiting i sig. Brist på rate limiting på endpoints där rate limiting inte är säkerhetskritiskt, utan ett påvisat missbruksscenario.

AI-användning

Vi använder AI för en första validering vid triagering. Den gör ibland misstag, och vi gör mänskliga granskningar av varje rapport, men om du tycker att AI:n har gjort ett stort misstag inledningsvis, lägg till en anteckning i inlämningen med ytterligare sammanhang osv..compromise any

Burp-användning / endpoints

Vi använder verktyg som Burp för snabba skanningar. Vi föredrar generellt att du inte kör sådana skanningar mot oss, eftersom tusentals förfrågningar bara belastar våra servrar i onödan. 

För att spara tid kommer här några endpoints: 

https://www.scribblemaps.com/ 
(Om du kör en skanning, blockera sökvägen /maps/ eftersom den skickar skannrar ner i ett kaninhål) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Betalningar

Det finns inga garantier för betalningstidslinjer. Vi avsätter en månadsbudget, där allvarliga problem alltid betalas först. Vi gör bara betalningar via Wise eller PayPal.
 

Förverkande av belöning

Att en rapport valideras eller accepteras innebär att den är berättigad till en belöning, inte en ovillkorlig rätt till en. ScribbleMaps kan minska eller hålla inne en belöning helt eller delvis när en forskares agerande bryter mot dessa villkor eller mot principerna för koordinerat avslöjande i god tro. Förverkande sker efter ScribbleMaps eget gottfinnande; skälet noteras på rapporten och meddelas forskaren.

En belöning som annars skulle ha betalats ut kan förverkas av något av följande skäl:

1. Förtida eller hotat offentligt avslöjande. Att avslöja sårbarheten – eller hota med att göra det – offentligt, för tredje part eller via medie-/sociala kanaler innan ScribbleMaps har åtgärdat problemet och godkänt avslöjande. Koordinerat avslöjande är ett villkor för programmet.
2. Tvång, utpressning eller trakasserier. Att göra icke-avslöjande beroende av betalning; att hota eller pressa personal; eller att använda support-, fakturerings- eller rapportörskanaler för att upprepade gånger eller på ett kränkande sätt kräva betalning. Frågor om belöningsstatus ska ställas via belöningsportalen, som ScribbleMaps kommer att besvara.
3. Flera eller dubbla identiteter. Att driva mer än ett forskarkonto, eller att dirigera belöningar för separata konton till en gemensam betalningsadress, för att öka antalet inlämningar eller belöningar.
4. Hemligt samarbete eller konstruerade fynd. Att samordna inlämningar mellan konton, använda en annan deltagares konto eller kartor som ”offer” i ett proof of concept, eller att konstruera ett datatillstånd som produkten inte kan skapa och sedan hänvisa till de resulterande uppgifterna som en läcka.
5. Lågkvalitativ eller automatiserad skräppost. Massinlämningar av automatiserad skannerutdata, listor över föråldrade bibliotek/CVE:er eller kända objekt utanför omfattningen (se Utanför omfattningen) utan en påvisad, ScribbleMaps-specifik exploit.
6. Skadlig eller olaglig testning. Att komma åt, ändra eller exfiltrera andra användares data utöver det minimum som krävs för att visa problemet; att försämra eller slå ut tjänsten; att utsätta personal eller användare för social manipulation; eller någon verksamhet som är förbjuden enligt programmets omfattning eller tillämplig lag.
7. Felaktig framställning eller bedrägeri. Att förfalska reproduktionssteg, bevis, upptäcktsdatum eller identitet.

Anteckningar.

• Förverkande kan vara delvis (en minskad belöning) eller fullständigt ($0).
• En validerad rapport som förverkas på grund av olämpligt agerande är inte berättigad på nytt för samma fynd.
• Dessa villkor gäller från och med inlämningen och upprepas i det godkännandemeddelande som skickas när en rapport accepteras.

Så här skickar du in en rapport

Besök: https://api.scribblemaps.com/vulnerabilities

Webbplatsen innehåller också instruktioner om hur du skickar rapporter via AI. Du måste logga in för att skicka in en rapport.

Juridiska punkter

Vi kan inte betala ut belöningar till personer som finns på sanktionslistor, eller som befinner sig i länder (t.ex. Kuba, Iran, Nordkorea, Sudan och Syrien) som finns på sanktionslistor. Du ansvarar själv för eventuella skattekonsekvenser beroende på ditt bosättningsland och ditt medborgarskap. Det kan finnas ytterligare begränsningar för din möjlighet att delta beroende på lokal lagstiftning.

Detta är ingen tävling, utan ett experimentellt och diskretionärt belöningsprogram. Du bör förstå att vi kan avbryta programmet när som helst, och att beslutet om huruvida en belöning ska betalas ut eller inte helt och hållet fattas efter vårt eget gottfinnande.

Din testning får naturligtvis inte bryta mot någon lag, eller störa eller äventyra data som inte är dina egna.