Systemy operacyjne
Nagrody do
$30 000
Zawiera Synology DiskStation Manager, Synology Router Manager i Synology BeeStation.
Oprogramowanie i usługi chmurowe C2
Nagrody do
$10 000
Zawiera pakiety oprogramowania opracowane przez Synology, powiązane aplikacje mobilne i usługi chmurowe C2.
Web usługi
Nagrody do
$5 000
Zawiera wszystkie główne usługi internetowe Synology.
- Jesteś pierwszym zgłaszającym tę lukę
- Potwierdzono, że zgłoszona luka jest weryfikowalna, replikowalna i stanowi ważny problem bezpieczeństwa
- Twój raport jest zgodny z warunkami i przepisami Programu Nagród
Skontaktuj się z nami za pomocą formularza kontaktowego programu Bounty.
Użyj tego klucza PGP do szyfrowania informacji podczas wysyłania raportów o błędach do firmy Synology.
Dołącz szczegółowy dowód koncepcji (PoC) i upewnij się, że zgłoszone problemy można odtworzyć.
Zachowaj zwięzłość opisu. Na przykład krótki link do dowodu konceptu jest bardziej ceniony niż film wyjaśniający konsekwencje problemu SSRF.
- Aby skrócić czas weryfikacji, prawidłowy raport o podatności powinien:
- Wykazać, w jaki sposób luka w zabezpieczeniach wpływa na produkty lub usługi internetowe firmy Synology, oraz opisać, których wersji i platform dotyczy luka.
- Określać potencjalne szkody spowodowane zgłoszoną podatnością
| Nagroda | Zakwalifikowane raporty uprawniają do nagrody w wysokości do 30 000 USD*. |
|---|---|
| Produkty wchodzące w zakres oferty | Tylko raporty dotyczące oficjalnie wydanych wersji są akceptowane. DiskStation Manager (DSM)
Synology Router Manager (SRM)
Firmware kamery Synology
Synology BeeStation
|
| Regulacje i ograniczenia | Ten program jest ściśle ograniczony do luk w zabezpieczeniach znalezionych w produktach i usługach firmy Synology. Działania, które mogłyby potencjalnie uszkodzić lub negatywnie wpłynąć na serwery lub dane Synology, są surowo zabronione. Testowanie luk w zabezpieczeniach nie może naruszać lokalnych ani tajwańskich przepisów prawa. Raporty o podatnościach nie są akceptowane w ramach programu, jeśli opisują lub obejmują:
|
**Maksymalna nagroda za zgłoszone luki w SRM_LAN wynosi $5,000.
***Maksymalna nagroda za zgłoszone luki w oprogramowaniu układowym kamery wynosi $10,000.
| Nagroda | Zakwalifikowane raporty uprawniają do nagrody w wysokości do 10 000 USD*. |
|---|---|
| Produkty wchodzące w zakres oferty | Akceptowane są tylko raporty dotyczące oficjalnie wydanych wersji. Pakiety Pakiety oprogramowania opracowane przez Synology Klienci stacjonarni Aplikacje Synology opracowane dla systemów Windows, macOS i Linux Aplikacje mobilne Aplikacje mobilne Synology opracowane dla Androida i iOS Konto Synology
Usługi C2 *.c2.synology.com domeny |
| Regulacje i ograniczenia | Ten program jest ściśle ograniczony do luk w zabezpieczeniach znalezionych w produktach i usługach firmy Synology. Działania, które mogłyby potencjalnie uszkodzić lub negatywnie wpłynąć na serwery lub dane Synology, są surowo zabronione. Testowanie luk w zabezpieczeniach nie może naruszać lokalnych ani tajwańskich przepisów prawa. Raporty o podatnościach nie są akceptowane w ramach programu, jeśli opisują lub obejmują:
|
| Nagroda | Zakwalifikowane raporty uprawniają do nagrody w wysokości do 5 000 USD*. |
|---|---|
| Produkty wchodzące w zakres oferty | Zakres oferty obejmuje następujące domeny (w tym subdomeny): *.synology.com Zakres oferty nie obejmuje następujących domen (w tym subdomen): openstack-ci-logs.synology.com, router.synology.com Synology zastrzega sobie prawo do modyfikacji tej listy w dowolnym momencie bez powiadomienia. |
| Regulacje i ograniczenia | Ten program jest ściśle ograniczony do luk w zabezpieczeniach znalezionych w produktach i usługach firmy Synology. Działania, które mogłyby potencjalnie uszkodzić lub negatywnie wpłynąć na serwery lub dane Synology, są surowo zabronione. Testowanie luk w zabezpieczeniach nie może naruszać lokalnych ani tajwańskich przepisów prawa. Raporty o podatnościach nie są akceptowane w ramach programu, jeśli opisują lub obejmują:
|
| Systemy operacyjne | Oprogramowanie i usługi chmurowe C2 | Web usługi | |
|---|---|---|---|
| Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
| Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
| Systemy operacyjne | Oprogramowanie i usługi chmurowe C2 | Web usługi | |
|---|---|---|---|
| 1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
| Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
| Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
| Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
| 1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
| pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
| 1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
| pre-auth stored XSS | $2,600 | $1,350 | $725 |
| Systemy operacyjne | Oprogramowanie i usługi chmurowe C2 | Web usługi | |
|---|---|---|---|
| normal-user-auth stored XSS | $1,350 | $733 | $417 |
| normal-user-auth SQL injection | $1,200 | $607 | $353 |
| admin-auth vulnerabilities | $100 | $100 | $100 |
- Od 1 października 2024 nagrody za ataki admin-auth będą ustalone na poziomie 100 USD.
- Dla klientów desktopowych, jeśli wektor CVSS zawiera którykolwiek z poniższych, nagroda jest ustalona na 100 USD:
- AV:L
- AV:A
- AV:N/AC:H
Uwagi:
- Proszę zauważyć, że choć wytyczne dotyczące nagród są dostarczane, każdy raport jest traktowany indywidualnie i dokładnie oceniany. Ocena uwzględnia różne czynniki, w tym między innymi zakres szczegółowo opisany w rubryce nagród. Synology zastrzega sobie prawo do ostatecznej interpretacji kwot nagród.
- W przypadku kwestii sklasyfikowanych jako mało istotne lub jako sugestie, dostarczone zostaną jedynie podziękowania.
- David Oxley
- Abdelali Chekiel
- Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
- @sunscan@infosec.exchange
- Mehedi Hasan (SecMiners BD) https://www.facebook.com/polapain.1337/