Вразливості та винагороди

Ми виплачуємо винагороди за виявлені вразливості або проблеми, пов'язані з безпекою. Щоб отримати виплату, мають виконуватися такі умови.

№1 Вразливість має бути унікальною 
Якщо ми отримаємо кілька повідомлень, винагороду отримає той, хто повідомив першим. Ми можемо виплатити на власний розсуд номінальну вторинну винагороду за повідомлення, щоб заохотити майбутні знахідки.

№2 Вразливість має бути відтворюваною
Ми не виплачуємо винагороду за жодну вразливість, яку неможливо відтворити. Ми не виплачуємо винагороди за відео на YouTube, що демонструють вразливість, яку неможливо відтворити.

№3 Має бути сценарій атаки
Атака повинна мати можливість поширення через наші системи. Будь ласка, поясніть можливість поширення. Наприклад, використання нашого API з подальшим написанням шкідливих скриптів не враховується, оскільки це нічим не відрізнялося б від простого створення сторінки зі шкідливими скриптами.
 

Як визначається розмір винагороди

Для кожної наведеної вище категорії встановлено діапазон виплат. Де саме в межах діапазону опиниться дійсне повідомлення, залежить від трьох чинників:

Привілеї, потрібні для експлуатації. Вразливості, що не потребують автентифікації, потрапляють у верхню частину діапазону. Вразливості, для яких потрібен автентифікований користувач, потрапляють у середину. Вразливості, для яких потрібен привілейований контекст (адміністратор команди, власник команди, платний тариф, внутрішній персонал), потрапляють у нижню частину.

Масштаб впливу. Вразливості, що зачіпають усіх користувачів або всі карти, оплачуються вище, ніж вразливості, що зачіпають один обліковий запис або одну команду, до якої зловмисник уже належить.

Оборотність. Шкода, яку постраждалий користувач може скасувати звичайними засобами (наприклад, скиданням пароля), оплачується нижче, ніж шкода, яка зберігається або для скасування якої потрібне наше втручання.

Якість повідомлення також має значення. Чіткий опис із робочим доказом концепції, аналізом першопричини та пропозицією щодо усунення може принести верхню межу діапазону, навіть якщо лише за технічним впливом воно потрапило б у середину. Недбалі або припущувальні повідомлення можуть отримати нижню межу.

Поза межами програми

Наведене нижче не має права на винагороду:

Анонімні карти спільноти. Карти без власника, які може редагувати будь-хто, — це давня функція спільноти. Збереження поверх анонімної карти не є вразливістю.

Карти Не в списку (URL як облікові дані). Карти без LockView навмисно доступні кожному, хто знає URL, подібно до відео на YouTube «не в списку». Доступ до такої карти або її збереження за відомим кодом карти — це задумана поведінка.

Стороннє програмне забезпечення, яке ми розміщуємо, але не підтримуємо. Проблеми в GeoServer, Tomcat або інших сторонніх стеках, розгорнутих поряд із нашими сервісами. Будь ласка, повідомляйте про них відповідним розробникам.

Відсутні заголовки безпеки без конкретного сценарію атаки. Повідомлення про CSP, X-Frame-Options, HSTS тощо без робочого експлойту не мають права на винагороду.

Обмеження частоти запитів окремо. Відсутність обмеження частоти запитів на кінцевих точках, де воно не є критичним для безпеки, без продемонстрованого сценарію зловживання.

Використання ШІ

Ми використовуємо ШІ для початкової перевірки під час сортування. Іноді він помиляється; кожне повідомлення ми перевіряємо вручну, однак якщо ви вважаєте, що ШІ допустив серйозну помилку на початку, додайте до повідомлення примітку з додатковим контекстом тощо..compromise any

Використання Burp / кінцеві точки

Ми використовуємо інструменти на кшталт Burp для швидкого сканування. Зазвичай ми віддаємо перевагу тому, щоб ви не проводили такі сканування на наших ресурсах, оскільки тисячі запитів лише створюють зайве навантаження на наші сервери. 

Щоб заощадити ваш час, ось кінцеві точки: 

https://www.scribblemaps.com/ 
(Якщо ви проводите сканування, заблокуйте шлях /maps/, оскільки він заведе сканери в нескінченний лабіринт) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Виплати

Жодних гарантій щодо термінів виплат немає. Ми виділяємо щомісячний бюджет, і серйозні проблеми завжди оплачуються першими. Виплати ми здійснюємо лише через Wise або PayPal.
 

Втрата права на винагороду

Перевірка або прийняття повідомлення встановлює право на отримання винагороди, а не безумовне право на неї. ScribbleMaps може зменшити або утримати винагороду повністю чи частково, якщо поведінка дослідника порушує ці умови або принципи добросовісного скоординованого розкриття. Позбавлення винагороди відбувається на розсуд ScribbleMaps; причина фіксується у повідомленні та доводиться до відома дослідника.

Винагорода, яка інакше підлягала б виплаті, може бути втрачена з будь-якої з таких причин:

1. Передчасне розкриття або погроза публічного розкриття. Розкриття вразливості — або погроза її розкрити — публічно, третім особам чи через медіа/соціальні канали до того, як ScribbleMaps усунув проблему та дозволив розкриття. Скоординоване розкриття є умовою програми.
2. Примус, вимагання або переслідування. Постановка нерозголошення в залежність від оплати; погрози чи тиск на співробітників; або використання каналів підтримки, виставлення рахунків чи каналів дослідників для неодноразових чи образливих вимог оплати. Запитання про статус винагороди слід спрямовувати через портал винагород, і ScribbleMaps на них відповість.
3. Кілька або дубльовані ідентичності. Ведення більш ніж одного облікового запису дослідника або спрямування винагород для окремих облікових записів на спільну платіжну адресу з метою збільшення кількості повідомлень чи винагород.
4. Змова або сфабриковані знахідки. Координація повідомлень між обліковими записами, використання облікового запису чи карт іншого учасника як «жертви» в доказі концепції або створення стану даних, який продукт не може створити, з подальшим посиланням на отримані дані як на витік.
5. Низькоякісний або автоматизований спам. Масове надсилання результатів автоматичних сканерів, списків застарілих бібліотек/CVE або відомих елементів поза межами програми (див. Поза межами програми) без продемонстрованого експлойту, специфічного для ScribbleMaps.
6. Шкідливе або протизаконне тестування. Доступ до даних інших користувачів, їх зміна чи викрадення понад мінімум, необхідний для демонстрації проблеми; погіршення або відмова в обслуговуванні; соціальна інженерія щодо співробітників чи користувачів; або будь-яка діяльність, заборонена межами програми чи чинним законодавством.
7. Введення в оману або шахрайство. Фальсифікація кроків відтворення, доказів, дат виявлення чи особи.

Примітки.

• Позбавлення винагороди може бути частковим (зменшена винагорода) або повним ($0).
• Підтверджене повідомлення, винагороду за яке втрачено через неналежну поведінку, більше не має права на винагороду за ту саму знахідку.
• Ці умови діють із моменту надсилання та повторюються у повідомленні про прийняття, яке надсилається, коли повідомлення прийнято.

Як надіслати повідомлення

Будь ласка, відвідайте: https://api.scribblemaps.com/vulnerabilities

На сайті також є інструкції, як надсилати повідомлення за допомогою ШІ. Щоб надіслати повідомлення, потрібно увійти в систему.

Юридичні положення

Ми не можемо виплачувати винагороди особам, які перебувають у санкційних списках або в країнах (наприклад, Куба, Іран, Північна Корея, Судан і Сирія), що перебувають у санкційних списках. Ви самі відповідаєте за будь-які податкові наслідки залежно від країни вашого проживання та громадянства. Залежно від місцевого законодавства можуть існувати додаткові обмеження щодо вашої участі.

Це не конкурс, а експериментальна програма винагород на розсуд організатора. Ви маєте розуміти, що ми можемо скасувати програму в будь-який момент, а рішення про виплату винагороди повністю залишається на наш розсуд.

Звичайно, ваше тестування не повинно порушувати жодних законів, а також порушувати чи компрометувати будь-які дані, що вам не належать.