운영 체제
최대 보상
30000
Synology DiskStation Manager, Synology Router Manager, 및 Synology BeeStation을 포함합니다.
소프트웨어 및 C2 클라우드 서비스
최대 보상
10000
Synology에서 개발한 소프트웨어 패키지, 관련 모바일 앱, 및 C2 클라우드 서비스를 포함합니다.
Web 서비스
최대 보상
5000
모든 주요 Synology 웹 서비스를 포함합니다.
- 이 취약점을 보고한 첫 번째 연구자입니다
- 보고된 취약점이 검증 가능하고, 재현 가능하며, 유효한 보안 문제로 확인됩니다
- 귀하의 보고서가 현상금 프로그램의 약관 및 규정을 준수합니다
바운티 프로그램 문의 양식 을 사용하여 당사에 문의하십시오.
버그 보고서를 Synology에 전송할 때 이 PGP 키 를 사용하여 정보를 암호화합니다.
취약점이 재현 가능하다는 것을 확인하고, 자세한 개념 증명(PoC)을 포함하십시오.
설명을 간결하게 유지하십시오. 예를 들어, 간단한 개념 증명 링크는 SSRF 문제의 결과를 설명하는 비디오보다 더 높게 평가됩니다.
- 영어로 취약점을 재현하는 방법에 대한 명확하게 작성된 단계별 설명을 포함합니다
- 취약점이 Synology 제품 또는 웹 서비스에 어떻게 영향을 미치는지 보여주고, 영향을 받는 버전 및 플랫폼을 설명합니다
- 보고된 취약점으로 인해 발생할 수 있는 잠재적 피해를 설명합니다
| 보상 | 자격 있는 보고서는 최대 US$30,000의 보상을 받을 수 있습니다.* |
|---|---|
| 범위 내 제품 | 공식적으로 출시된 버전에 대한 보고서만 받습니다. DiskStation Manager (DSM)
Synology 라우터 관리자(SRM)
Synology 카메라 펌웨어
Synology BeeStation
|
| 규정 및 제한 | 이 프로그램은 Synology 제품 및 서비스에서 발견된 보안 취약점에만 엄격히 제한됩니다. Synology 서버나 데이터에 잠재적으로 해를 끼치거나 해를 끼칠 수 있는 행동은 엄격히 금지됩니다. 취약점 테스트는 현지 또는 대만 법률을 위반해서는 안 됩니다. 프로그램에 따라 취약점 보고서는 다음을 설명하거나 포함하는 경우 받아들여지지 않습니다:
|
**SRM_LAN의 취약점에 대한 최대 보상은 $5,000입니다.
***카메라 펌웨어의 취약점에 대한 최대 보상은 $10,000입니다.
| 보상 | 최대 US$10,000의 보상이 가능한 자격 있는 보고서. |
|---|---|
| 범위 내 제품 | 공식적으로 출시된 버전에 대한 보고서만 허용됩니다. 패키지 Synology에서 개발한 소프트웨어 패키지 데스크톱 클라이언트 Synology에서 개발한 Windows, macOS, Linux 애플리케이션 모바일 앱 Synology에서 개발한 Android 및 iOS용 모바일 앱 Synology 계정
C2 서비스 *.c2.synology.com 도메인 |
| 규정 및 제한 | 이 프로그램은 Synology 제품 및 서비스에서 발견된 보안 취약점에만 엄격히 제한됩니다. Synology 서버나 데이터에 잠재적으로 해를 끼칠 수 있는 행위는 엄격히 금지됩니다. 취약점 테스트는 현지 또는 대만 법률을 위반해서는 안 됩니다. 프로그램에 따라 취약점 보고서는 설명하거나 포함하는 경우에는 허용되지 않습니다:
|
| 보상 | 최대 US$5,000의 보상이 가능한 자격 있는 보고서. |
|---|---|
| 범위 내 제품 | 다음 도메인(서브 도메인 포함)이 범위 내에 있습니다: *.synology.com 다음 도메인(서브 도메인 포함)은 범위에 포함되지 않습니다: openstack-ci-logs.synology.com, router.synology.com Synology는 언제든지 이 목록을 수정할 권리를 보유합니다. |
| 규정 및 제한 | 이 프로그램은 Synology 제품 및 서비스에서 발견된 보안 취약점에 엄격히 제한됩니다. Synology 서버나 데이터에 잠재적인 피해를 줄 수 있는 행위는 엄격히 금지됩니다. 취약점 테스트는 현지 법률 또는 대만 법률을 위반해서는 안 됩니다. 취약점 보고서는 다음을 설명하거나 포함하는 경우 프로그램에서 허용되지 않습니다.
|
| 운영 체제 | 소프트웨어 및 C2 클라우드 서비스 | Web 서비스 | |
|---|---|---|---|
| Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
| Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
| 운영 체제 | 소프트웨어 및 C2 클라우드 서비스 | Web 서비스 | |
|---|---|---|---|
| 1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
| Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
| Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
| Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
| 1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
| pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
| 1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
| pre-auth stored XSS | $2,600 | $1,350 | $725 |
| 운영 체제 | 소프트웨어 및 C2 클라우드 서비스 | Web 서비스 | |
|---|---|---|---|
| normal-user-auth stored XSS | $1,350 | $733 | $417 |
| normal-user-auth SQL injection | $1,200 | $607 | $353 |
| admin-auth vulnerabilities | $100 | $100 | $100 |
- 2024년 10월 1일부터 admin-auth 취약점 보상은 $100 USD로 설정됩니다.
- 데스크톱 클라이언트의 경우, CVSS 벡터에 다음 중 하나가 포함되면 보상은 $100 USD로 설정됩니다:
- AV:L
- AV:A
- AV:N/AC:H
참고:
- 보상 지침이 제공되지만, 각 보고서는 개별적으로 처리되며 철저히 평가됩니다. 점수는 보상 루브릭에 자세히 설명된 범위를 포함하여 다양한 요소를 고려합니다. Synology는 보상 금액의 최종 해석권을 보유합니다.
- 낮은 심각도로 분류된 문제나 제안에 대해서는 인정만 제공됩니다.
- David Oxley
- Abdelali Chekiel
- Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
- @sunscan@infosec.exchange
- Mehedi Hasan (SecMiners BD) https://www.facebook.com/polapain.1337/