PT Application Inspector
Company: Positive TechnologiesПрограмма Bug Bounty продукта PT Application Inspector
Rewards are paid to individual entrepreneurs and self-employed persons
Program description
Программа Bug Bounty продукта PT Application Inspector
Программа Bug Bounty продукта PT Application Inspector направлена на выявление и подтверждение уязвимостей, которые могут привести к компрометации процессов анализа безопасности приложений, искажению результатов SAST/DAST/IAST/SCA-проверок, утечке исходного кода и данных анализа, а также использованию компонентов системы в качестве точки входа для атак на инфраструктуру заказчика.
PT Application Inspector — это комплексная платформа анализа безопасности приложений, объединяющая статический, динамический, интерактивный анализ, анализ компонентов с открытым исходным кодом (SCA), а также механизмы сигнатурного и паттерн-матчинга. Продукт применяется для защиты приложений различного масштаба — от публичных веб-сервисов до критичных корпоративных и государственных систем. Уязвимости в продукте способны напрямую повлиять на достоверность результатов анализа и безопасность цепочки разработки (SDLC).
Ограничения
На момент запуска программы доступ к тестовым стендам продукта предоставляется ограниченно.
Расширенный доступ будет предоставлен позднее, по мере готовности инфраструктуры и процедур сопровождения.
Расширенный доступ будет предоставлен позднее, по мере готовности инфраструктуры и процедур сопровождения.
Общие положения:
Типы уязвимостей, принимаемые к рассмотрению. Мы принимаем отчёты об уязвимостях следующих категорий (но не ограничиваемся ими):
1. Веб-интерфейс и API управления
- Обход аутентификации в интерфейсе управления, позволяющий получить несанкционированный доступ к проектам, результатам анализа и настройкам системы.
- XSS в полях ввода, используемых при работе с проектами, параметрами сканирования или отчётами, позволяющий выполнить произвольный код в браузере пользователя.
- Небезопасная десериализация в API, приводящая к выполнению произвольного кода или компрометации компонентов системы.
- Path Traversal при загрузке исходного кода для анализа, позволяющий читать или перезаписывать произвольные файлы на сервере.
2. Анализ исходного кода
- Подмена результатов анализа через инъекции в метаданные проекта, приводящая к искажению выводов о наличии или отсутствии уязвимостей.
- Некорректная обработка известных уязвимостей (CVE), позволяющая скрыть реальные уязвимости в анализируемом коде или внедрить ложные результаты.
3. База данных уязвимостей
- SQL-инъекции в механизмах поиска и фильтрации уязвимостей, позволяющие получить доступ к данным системы или нарушить её работоспособность.
- XSS в отчётах, генерируемых системой, приводящий к компрометации сессий пользователей или выполнению действий от их имени.
- Обход механизмов проверки целостности базы сигнатур уязвимостей, позволяющий подменить или отключить правила обнаружения.
4. Система правил (Rule Engine)
- Удалённое выполнение кода (RCE) через кастомные правила анализа, используемые для расширения функциональности системы.
- Подмена или модификация системных правил анализа через уязвимости контроля доступа, приводящая к искажению результатов проверки приложений.
5. Интеграции с CI/CD
- SSRF в функциях интеграции с системами CI/CD (Jenkins, GitLab и др.), позволяющий атаковать внутренние сервисы или инфраструктуру.
- Утечка учетных данных систем сборки, используемых для автоматического анализа приложений в пайплайнах.
- Удалённое выполнение кода (RCE) через хуки CI/CD, приводящее к компрометации среды сборки или разработки.
6. Архитектура и развертывание
- Уязвимости в контейнерах, приводящие к побегу из изолированной среды и доступу к хост-системе.
- Раскрытие чувствительной информации в сообщениях об ошибках, позволяющее упростить дальнейшую атаку или получить сведения об архитектуре системы.
Примечание: Уязвимости, не ведущие к реальному риску (например, теоретические или без подтверждения эксплуатации), могут быть отклонены или оценены как «информационные» без денежного вознаграждения.
Вознаграждения
Размеры вознаграждений описаны в таблице ниже:
| Уровень критичности | Размер выплаты |
|---|---|
| Критический | 300 000 - 500 000 р. |
| Высокий | 150 000 - 300 000 р. |
| Средний | 50 000 - 150 000 р. |
| Низкий | 0 - 50 000 р. |
Вознаграждение может быть выплачено только за сценарии атак, воспроизводимые на инсталляциях официально поддерживаемой версии продукта со всеми доступными обновлениями. Отчеты о недостатках в снятых с поддержки версиях также принимаются, но выплата вознаграждения за такие уязвимости не гарантируется.
Уровень критичности уязвимости определяется в ходе триажа и подтверждения отчёта с учётом влияния на безопасность продукта.
Окончательное решение по уровню критичности уязвимости принимается командой безопасности продукта.
Окончательное решение по уровню критичности уязвимости принимается командой безопасности продукта.
Требования к участникам
Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет.
Исследователи в возрасте от 14 до 18 лет имеют право участвовать в программе только при наличии письменного согласия родителей или законного представителя.
Действующие сотрудники Positive Technologies и бывшие сотрудники, с момента увольнения которых прошло менее 3 лет, могут участвовать в программе, но не могут претендовать на вознаграждение.
Исследователи в возрасте от 14 до 18 лет имеют право участвовать в программе только при наличии письменного согласия родителей или законного представителя.
Действующие сотрудники Positive Technologies и бывшие сотрудники, с момента увольнения которых прошло менее 3 лет, могут участвовать в программе, но не могут претендовать на вознаграждение.
Исследователям необходимо:
- Соблюдать правила, которые устанавливает Positive Technologies в своей программе по раскрытию уязвимостей, а также правила платформы The Standoff 365 Bug Bounty.
- Соблюдать правила конфиденциальности информации. Запрещено получать доступ к данным другого пользователя без его согласия, изменять и уничтожать их, а также раскрывать любую конфиденциальную информацию, случайным образом полученную в ходе поиска уязвимостей или их демонстрации. Преднамеренный доступ к этой информации запрещен и может быть признан незаконным.
- Поддерживать общение с командой по безопасности, направлять ей отчеты о выявленных уязвимостях, оформленные согласно требованиям, и давать обратную связь, если у специалистов возникнут вопросы об отчете.
- Не разглашать информацию об уязвимости. Право на публикацию информации о найденной уязвимости остается за Positive Technologies.
- Раскрытие уязвимости допустимо только при наличии исправления и публично зарегистрированного идентификатора CVE/BDU.
- Багхантер может изъявить желание о раскрытии отчета - PT обязуется запустить процесс согласования регистрации идентификатора уязвимости.
Вознаграждения за уязвимости
Positive Technologies не выплачивает вознаграждение:
- за отчеты сканеров безопасности и других автоматизированных инструментов;
- раскрытие несекретной информации (наименования ПО или его версии, технические параметры и метрики системы и пр.);
- информацию об IP-адресах, DNS-записях и открытых портах;
- проблемы и уязвимости, которые основаны на версии используемого продукта, без демонстрации их эксплуатации;
- уязвимости, эксплуатацию которых блокируют СЗИ, без демонстрации обхода СЗИ;
- отчеты о небезопасных шифрах SSL и TLS без демонстрации их эксплуатации;
- отчеты об отсутствии SSL и других лучших практик (best current practices);
- уязвимости, информацию о которых ранее передали другие участники конкурса (дубликаты отчетов);
- уязвимости 0-day или 1-day, информация о которых получена командой по безопасности из открытых источников;
- уязвимости к атаке перебором, если в отчете не описан метод, имеющий существенно более высокую эффективность, чем прямой перебор.