BugBounty_Program

Общие правила

Правила для нас

• Мы уважаем время и усилия исследователей.
• Мы даем ответ на первичное сообщение в течение 3 рабочих дней.
• Мы проводим проверку и обработку отчета в течение 10 рабочих дней после ответа.
• В случае необходимости продления сроков обработки мы заранее уведомим вас и объясним причину задержки.
• Размер вознаграждения определяется в течение 15 рабочих дней после подтверждения уязвимости.
• Мы стремимся поддерживать прозрачную коммуникацию и держать вас в курсе статуса вашего отчета на всех этапах рассмотрения.

Правила для вас

• Будьте этичным хакером и уважайте конфиденциальность других пользователей
• Старайтесь избегать нарушений конфиденциальности, уничтожения данных, а также прерывания или ухудшения качества наших приложений.
• Инструменты автоматического сканирования должны быть ограничены 5 запросами в секунду к одному целевому узлу, суммируя все инструменты и потоки, работающие параллельно
• Перед началом исследований ознакомьтесь с правилами, указанными в этой программе
• Старайтесь предоставлять подробные отчеты с воспроизводимым шагами. Если отчет недостаточно подробный для воспроизведения проблемы, то он не будет принят.

Область действия программы

• Google Play: https://play.google.com/store/apps/details?id=ru.tander.magnit&hl=ru
• App Store: https://apps.apple.com/ru/app/магнит-акции-и-доставка/id881463973
• id.magnit.ru
• middle-api.magnit.ru
• magnit.ru

• my.magnit.ru

• hi.tander.ru

Вне области действия программы

1. Другие домены в зоне *.magnit.ru
2. Домены в зонах *.magnit.com, *.tander.ru
3. Домены, принадлежащие компании Магнит
4. IP-сеть 193.19.168.0/22 и другие

Вознаграждения

• Критический уровень – до 250 000 руб

• Высокий – до 120 000 руб
• Средний – до 50 000 руб
• Низкий – до 15 000 руб

Примеры критичности уязвимостей

Определение критичности уязвимости

• Уровень привилегий, необходимый для реализации атаки
• Трудность обнаружения и эксплуатации
• Наличие требования взаимодействия с пользователем
• Влияние на целостность, доступность и конфиденциальность затронутых данных
• Влияние на бизнес-риски и репутационные риски
• Количество затронутых пользователей

Уязвимости вне области тестирования и исключения из программы

• Действия позволяющие выполнять перебор паролей/номеров телефонов/почт и др.
• Избыточное функционирование СЗИ, политик безопасности или механизмов блокировки
• Раскрытие публичных API-ключей
• Возможность отправки большого количества сообщений
• Отсутствие SSL pinning
• Возможность обратного инжиниринга приложения или отсутствие бинарной защиты
• Теоретические атаки не подтвержденные практическим применением
• Отсутствие обфускации в приложении
• Любые уязвимости, эксплуатация которых возможна только при наличии root/jailbreak на устройстве
• Не соблюдение best practices
• За отчеты сканеров безопасности и других автоматизированных инструментов
• Раскрытие несекретной информации (наименования ПО или его версии)
• Информацию об IP-адресах, DNS-записях и открытых портах
• Проблемы и уязвимости, которые основаны на версии используемого продукта, без демонстрации их эксплуатации
• Уязвимости, эксплуатацию которых блокируют СЗИ, без демонстрации обхода СЗИ
• Отчеты о небезопасных шифрах SSL и TLS без демонстрации их эксплуатации
• Отчеты об отсутствии SSL и других лучших практик (best current practices)
• Уязвимости, информацию о которых ранее передали другие участники конкурса (дубликаты отчетов)
• Уязвимости 0-day, о которых стало публично известно менее 30 дней назад, и уязвимости с CVSS выше 8, о которых стало известно менее 14 дней назад
• Уязвимости 1-day, информация о которых получена командой по безопасности из открытых источников
• Self-XSS и другие уязвимости, напрямую не влияющие на пользователей или данные приложения
• Уязвимости, для которых требуются версии браузера, выпущенные за 6 и более месяцев (либо прекращена поддержка) до представления отчета
• Ошибки в настройке CORS без демонстрации их эксплуатации
• Разглашение информации о существовании в системе данного имени пользователя, email или номера телефона
• Разглашение технической или нечувствительной информации (например, версии продукта или используемого ПО, stacktrace)
• Open Redirect без дополнительного вектора атаки (например, кражи токена авторизации)
• Подмена контента на странице
• Tabnabbing
• Clickjacking
• Уязвимости, требующие выполнения сложного или маловероятного сценария взаимодействия с пользователем
• Отсутствие лучших практик в конфигурации DNS и почтовых сервисов (DKIM/DMARC/SPF/TXT)
• Неработающие ссылки на страницы социальных сетей или невостребованные ссылки в социальных сетях и подобные страницы
• Возможность создавать учетные записи пользователей без каких-либо ограничений
• Перечисление пользователей
• Разглашение публичной информации о пользователях
• Отсутствие уведомлений о важных действиях пользователя
• Утечка конфиденциальных маркеров (например, маркера сброса пароля) доверенным третьим лицам по защищенному соединению (HTTPS)
• Проблемы, никак не связанные с безопасностью (если вы обнаружите проблемы не связанные с безопасностью, направляйте их в техническую поддержку bb_support@magnit.ru)
• Отсутствие механизма защиты или лучших практик без демонстрации реального влияния на безопасность пользователя или системы принимаются как информативные (например, HTTP заголовков безопасности, флагов безопасности cookie или защиты от CSRF)

Требования к участникам

Идентификация трафика

Требования к отчету:

• Заголовок с четким и кратким названием, который включает в себя тип уязвимости и затронутый актив
• Описание, в чем состоит уязвимость и как это воспроизвести с четкими шагами
• Вспомогательные материалы и ссылки
• Влияние, которое может оказать злоумышленник
• Рекомендации по устранению уязвимости

• Необработанная информация от сканеров уязвимостей и других средств автоматического сканирования
• Информация об уязвимостях без возможности реальной эксплуатации
• Уязвимости вне области тестирования и исключения из программы

Исследователям необходимо:

1. Соблюдать правила конфиденциальности информации. Запрещено получать доступ к данным другого пользователя без его согласия, изменять и уничтожать их, а также раскрывать любую конфиденциальную информацию, случайным образом полученную в ходе поиска уязвимостей или их демонстрации. Преднамеренный доступ к этой информации запрещен и может быть признан незаконным
2. Поддерживать общение с командой по безопасности, направлять ей отчеты о выявленных уязвимостях, оформленные согласно требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете
3. Не разглашать сведения об уязвимости до их публичного раскрытия ПАО «Магнит».

Обязанности ПАО «Магнит»

1. Отдавать приоритет задачам безопасности, оперативно подходить к устранению обнаруженных уязвимостей
2. Уважать исследователей, не препятствовать раскрытию информации об отчете без четких на то оснований
3. Не выдвигать исследователям необоснованные обвинения, связанные с участием в конкурсе

Публичное раскрытие информации об уязвимости

Недопустимые действия

• Воздействовать на учетные записи других пользователей без их разрешения
• Использовать обнаруженную уязвимость в личных целях
• Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов
• Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки, брутфорс-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов
• Проводить физические атаки на персонал, дата-центры и офисы компании
• Проводить атаки на системы Магнита с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок клиентам, партнерам и сотрудникам
• Исследовать серверную инфраструктуру, где размещены веб-приложения

Политика безопасного тестирования RCE и получения удалённого доступа

• Выполнение команд для идентификации окружения: ifconfig / ipconfig, hostname, whoami, id.
• Чтение только следующих системных файлов: /etc/passwd, /proc/sys/kernel/hostname (или эквивалентные системные файлы).
• Создание пустого файла в домашнем каталоге текущего пользователя (для подтверждения возможности записи).

• Выполнение любых изменений в конфигурации, установок или установщиков; запись в системные/приложенческие файлы; удаление файлов.
• Сбор/экспор/перенос больших объёмов данных; скачивание баз данных, логов или любых персональных данных.
• Установка постоянных обратных шеллов, агентов, бэкдоров или инструментов удалённого доступа.
• Выполнение действий, приводящих к отказу в обслуживании (DoS), отключению сервисов или массовому оповещению пользователей.
• Попытки получения root/административных привилегий, lateral movement (движение по сети), эскалация прав или иная эксплуатация, выходящая за рамки минимального PoC.

Политика тестирования SQL инъекций

• Получения данных о текущей БД (SELECT database()), ее версии (SELECT @@version), текущего пользователя (SELECT user(), SELECT system_user()) или имени хоста (SELECT @@hostname)
• Получения схемы БД (SELECT table_schema), списка таблиц в ней (SELECT table_name) и имен столбцов в таблицах (SELECT column_name)
• Выполнения математических, конверсионных или логических запросов (включая использование SLEEP) без извлечения данных (кроме тех, что перечислены выше)

Политика загрузки и чтения файлов

• Изменение, модификация, удаление и замена любых файлов на сервере (включая системные), кроме тех, что ассоциированы с вашей учетной записью либо с учетной записью пользователя, который явно выразил свое согласие
• Загрузка файлов, которые могут вызвать отказ в обслуживании (например, файлов большого размера)
• Загрузка вредоносных файлов (например, малвари или шпионского ПО)