オペレーティングシステム
までの報酬
30000
Synology DiskStation Manager 、 Synology Router Manager 、および Synology BeeStation を含みます。
ソフトウェアおよび C2 クラウドサービス
までの報酬
10000
Synology が開発したソフトウェアパッケージ、関連モバイルアプリ、および C2 クラウドサービスを含みます。
Web サービス
までの報酬
5000
すべての主要な Synology ウェブサービスを含みます。
- あなたがこの脆弱性を報告した最初の研究者であること
- 報告された脆弱性が確認され、検証可能で、再現可能で、有効なセキュリティ問題であること
- あなたの報告がバウンティプログラムの条件と規制に準拠していること
賞金プログラム連絡フォームを利用して、当社にご連絡ください。
この PGP キーを使用して、バグレポートを Synology に送信する際に情報を暗号化します。
詳細な証明コンセプト（PoC）を含め、報告された問題が再現可能であることを確認してください。
説明を簡潔に保ちます。たとえば、短い証明コンセプトリンクは、 SSRF 問題の影響を説明するビデオよりも評価が高いです。
- 英語で脆弱性を再現する方法の明確なステップバイステップの説明を含む
- Synology 製品または Web サービスにどのように影響するかを示し、どのバージョンとプラットフォームが影響を受けるかを説明する
- 報告された脆弱性によって引き起こされる可能性のある損害を述べる
| 報酬 | 資格のあるレポートは、最大 US$30,000 の報酬が対象です。* |
|---|---|
| 対象製品 | 公式にリリースされたバージョンに関するレポートのみが受け入れられます。 DiskStation Manager （DSM）
Synology ルーターマネージャー（SRM）
Synology カメラファームウェア
Synology BeeStation
|
| 規制と制限 | このプログラムは、 Synology 製品およびサービスで見つかったセキュリティ脆弱性に厳密に限定されています。 Synology サーバーやデータに損害を与える可能性のある行為は厳しく禁止されています。脆弱性テストは、地元または台湾の法律を違反してはなりません。 プログラムの下で受け入れられない脆弱性レポートは、次のようなものを説明または関与しています：
|
**SRM_LAN の脆弱性に対する最大報酬は$5,000 です。
***カメラファームウェアの脆弱性に対する最大報酬は$10,000 です。
| 報酬 | 資格のあるレポートは最大$10,000 の報酬が与えられます。* |
|---|---|
| 対象製品 | 公式にリリースされたバージョンに関するレポートのみが受け付けられます。 パッケージ Synology が開発したソフトウェアパッケージ デスクトップクライアント Synology が開発した Windows 、 macOS 、 Linux アプリケーション モバイルアプリ Synology が開発した Android および iOS 用モバイルアプリ Synology アカウント
C2 サービス *.c2.synology.com ドメイン |
| 規制と制限 | このプログラムは、 Synology 製品およびサービスに見つかったセキュリティ脆弱性に厳密に限定されています。 Synology のサーバーやデータに損害を与える可能性のある行為は厳しく禁じられています。脆弱性テストは、地元または台湾の法律を破ってはなりません。 プログラムの下で受け入れられない脆弱性レポートは、以下を記述または関与しています：
|
| 報酬 | 資格のあるレポートは最大$5,000 の報酬が与えられます。* |
|---|---|
| 対象製品 | 対象となるドメイン（サブドメインを含む）は以下の通りです： *.synology.com 以下のドメイン（サブドメインを含む）は対象外です： openstack-ci-logs.synology.com, router.synology.com Synology はこのリストを予告なしにいつでも変更する権利を留保します。 |
| 規制と制限 | このプログラムは、 Synology 製品およびサービスに見つかったセキュリティ脆弱性に厳密に限定されています。 Synology のサーバーやデータに損害を与える可能性のある行為は厳禁です。脆弱性テストは、地元の法律または台湾の法律を侵してはなりません。 プログラムの下で受け付けられない脆弱性報告には、以下のようなものが含まれます：
|
| オペレーティングシステム | ソフトウェアと C2 クラウドサービス | Web サービス | |
|---|---|---|---|
| Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
| Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
| オペレーティングシステム | ソフトウェアと C2 クラウドサービス | Web サービス | |
|---|---|---|---|
| 1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
| Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
| Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
| Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
| 1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
| pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
| 1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
| pre-auth stored XSS | $2,600 | $1,350 | $725 |
| オペレーティングシステム | ソフトウェアと C2 クラウドサービス | Web サービス | |
|---|---|---|---|
| normal-user-auth stored XSS | $1,350 | $733 | $417 |
| normal-user-auth SQL injection | $1,200 | $607 | $353 |
| admin-auth vulnerabilities | $100 | $100 | $100 |
- 2024年10月1日より、管理者認証の脆弱性に対する報奨金は100米ドルに設定されます。
- デスクトップクライアントの場合、CVSSベクトルに以下のいずれかが含まれる場合、報奨金は100米ドルに設定されます。
- AV:L
- AV:A
- AV:N/AC:H
注意：
- 報酬のガイドラインが提供されていますが、各報告は個別に、徹底的に評価されます。スコアリングは、報酬ルーブリックで詳述された範囲を含むがこれに限定されない様々な要因を考慮します。シノロジーは報酬額の最終解釈権を留保します。
- 低重要度の問題や提案については、承認のみが提供されます。
- David Oxley
- Abdelali Chekiel
- Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
- @sunscan@infosec.exchange
- Mehedi Hasan (SecMiners BD) https://www.facebook.com/polapain.1337/