Сбер2B ЭДО
|Not enough reviews
Сбер2B ЭДО - сервисы для автоматизации электронного документооборота
Rewards are paid to individual entrepreneurs and self-employed persons
Program description
Команда кибербезопасности ООО «Сбер2B» запускает программу Bug Bounty и приглашает к сотрудничеству независимых исследователей. Наша цель – заблаговременное выявление и устранение потенциальных угроз. За каждую подтвержденную уязвимость мы предлагаем денежное вознаграждение, размер которого зависит от критичности находки.
Мы ценим вклад в обеспечение безопасности наших сервисов, однако поиск уязвимостей и исследование сервисов должно выполняться в соответствии с данными правилами.
Мы ценим вклад в обеспечение безопасности наших сервисов, однако поиск уязвимостей и исследование сервисов должно выполняться в соответствии с данными правилами.
Область исследования
В область действия программы входят следующие домены:
В рамках программы тестированию подлежат только домены, указанные в списке разрешённых ресурсов программы. Остальные приложения и поддомены в зоне *.esphere.ru, не перечисленные в скоупе программы, не входят в область тестирования и не должны проверяться в рамках программы.
Рассматриваемые уязвимости
В первую очередь нас интересуют высокие (High) и критические (Critical) уязвимости. Однако мы также ценим отчеты об уязвимостях низких (Low) и средних (Medium) уровней критичности, поскольку они тоже вносят вклад в безопасность наших сервисов. Основные уязвимости web-сервисов, которые мы приветствуем представлены ниже.
| Уязвимость | Пояснение | Дополнительная информация |
|---|---|---|
| Удаленное исполнение кода | RCE (Server-side remote code execution) | При проверке уязвимости в Dev-инфраструктуре/изолированном или виртуализированном процессе допустимо: - выполнять команды ifconfig, ipconfig, hostname, whoami - чтение файлов /etc/passwd и boot.ini - создание пустого файла/каталога в каталоге текущего пользователя |
| Использование и выполнение локальных файлов на серверной стороне | LFI | Запрещенные действия при загрузке файлов в Dev-инфраструктуре/изолированном или виртуализированном процессе: - изменение, модификация, удаление и замена любых файлов на сервере (включая системные), кроме тех, что ассоциированы с вашей учетной записью - загрузка файлов, которые могут вызвать отказ в обслуживании (например, файлов большого размера) - загрузка вредоносных файлов - при получении возможности чтения произвольных файлов на сервере запрещены любые действия, кроме чтения таких файлов, как /etc/passwd и /proc/sys/kernel/hostname (drive:/boot.ini, drive:/install.ini) |
| Доступ к локальным файлам и работа с ними | LFR, RFI, XXE (XML external entity attacks) | Без ограничений типа jail/chroot/file type restrictions |
| Подделки запросов на стороне сервера (c раскрытием чувствительной информации) | SSRF (Server-side request forgery) | Не/слепые с возможностью читать текст ответа, кроме выделенных прокси |
| Уязвимость на стороне сервера (c раскрытием чувствительной информации) | IDORs (Insecure direct object references) | С раскрытием информации критически важных или высоко конфиденциальных данных приложения или клиента. Например, сессии, учетные записи, пароли, данные платёжных карт, сообщения электронной почты |
| Обход аутентификации | Authentication Bypass (Broken access control) | Администратор/поддержка |
| Недостаточная аутентификация/авторизация | IAA (Insufficient authentication/authorization) | Со стороны пользователя (клиента) |
| Межсайтовое выполнение сценариев | XSS кроме Self-XSS (Cross-site scripting) | Так же слепая XSS в интерфейсе администратора/поддержки |
| Межсайтовая подделка запросов | CSRF (Cross-site request forgery) | Так же известна, как XSRF |
| Инъекции (с получением доступа к критичным данным) | SQL/XML-инъекции | При проверке уязвимости допустимо: - получать данные о текущей БД ( SELECT database()), версии текущей БД (SELECT @version), текущем пользователе (SELECT user(), SELECT system_user()) или имени хоста (SELECT @hostname)- получать схемы БД ( SELECT table_schema), список таблиц в ней (SELECT table_name) и имена столбцов в таблицах (SELECT column_name)- выполнять математические, конверсионные или логические запросы (включая использование SLEEP) без извлечения данных (кроме тех, что перечислены выше) |
| Нарушения бизнес-логики | Business logic vulnerabilities | -- |
| Уязвимости контроля доступа | Access control vulnerabilities | -- |
| Повышение привилегий | Privilege escalation | -- |
Данные перечни не являются исчерпывающими. Мы готовы рассмотреть любую уязвимость, которая может нанести существенный ущерб ООО «Сбер2B» и нашим клиентам.
Уязвимости и недостатки, которые не принимаются к рассмотрению
В рамках данной программы не принимаются к рассмотрению следующие находки:
• разглашение информации о взломанных учетных записях внешних пользователей наших сервисов;
• разглашение нечувствительной информации (например, версии продукта);
• информация о возможности реинжиниринга сервиса (приложения);
• информация об инъекции формул и исполнении скриптов в документах (например, Excel);
• информация о раскрытии неиспользуемых или должным образом ограниченных ключей REST API;
• информация о раскрытии конфиденциальных маркеров (например, маркера сброса пароля) доверенным третьим лицам по защищенному соединению;
• информация о раскрытии полного пути к файлу на сервере (FPD);
• информация о недостатках применения смс-кодов и почтовых сообщений;
• отчеты сканеров уязвимостей и других автоматизированных инструментов;
• уязвимости 0-day, 1-day и с оценкой выше 8 баллов согласно стандарту CVSS, о которых стало публично известно менее 30 дней назад;
• информация об уязвимых версиях и протоколах без демонстрации реального воздействия;
• информация об отсутствии применения рекомендованных защитных механизмов, в том числе политиках и настройках Cross-Origin Resource Sharing (CORS), без демонстрации реального воздействия;
• уязвимости типа Framing, Open Redirect, IDN, Logout CSRF, Self-XSS, ClickJacking, Bruteforce, Tabnabbing (рассматриваются только в том случае, если определен существенный ущерб ООО «Сбер2B» и нашим клиентам);
• уязвимости, необходимым условием эксплуатации которых является наличие вредоносного ПО, административных полномочий или jailbreak на устройстве;
• MITM-атаки и атаки, требующие доступ или близость к устройству (например, атаки посредством NFC, Bluetooth или Wi-Fi);
• атаки на отказ в обслуживании (DoS);
• атаки методом перебора (Bruteforce);
• уязвимости, требующие выполнения сложного или маловероятного сценария;
• теоретические атаки без доказательства возможности использования;
• ранее обнаруженные уязвимости или проблемы.
• разглашение информации о взломанных учетных записях внешних пользователей наших сервисов;
• разглашение нечувствительной информации (например, версии продукта);
• информация о возможности реинжиниринга сервиса (приложения);
• информация об инъекции формул и исполнении скриптов в документах (например, Excel);
• информация о раскрытии неиспользуемых или должным образом ограниченных ключей REST API;
• информация о раскрытии конфиденциальных маркеров (например, маркера сброса пароля) доверенным третьим лицам по защищенному соединению;
• информация о раскрытии полного пути к файлу на сервере (FPD);
• информация о недостатках применения смс-кодов и почтовых сообщений;
• отчеты сканеров уязвимостей и других автоматизированных инструментов;
• уязвимости 0-day, 1-day и с оценкой выше 8 баллов согласно стандарту CVSS, о которых стало публично известно менее 30 дней назад;
• информация об уязвимых версиях и протоколах без демонстрации реального воздействия;
• информация об отсутствии применения рекомендованных защитных механизмов, в том числе политиках и настройках Cross-Origin Resource Sharing (CORS), без демонстрации реального воздействия;
• уязвимости типа Framing, Open Redirect, IDN, Logout CSRF, Self-XSS, ClickJacking, Bruteforce, Tabnabbing (рассматриваются только в том случае, если определен существенный ущерб ООО «Сбер2B» и нашим клиентам);
• уязвимости, необходимым условием эксплуатации которых является наличие вредоносного ПО, административных полномочий или jailbreak на устройстве;
• MITM-атаки и атаки, требующие доступ или близость к устройству (например, атаки посредством NFC, Bluetooth или Wi-Fi);
• атаки на отказ в обслуживании (DoS);
• атаки методом перебора (Bruteforce);
• уязвимости, требующие выполнения сложного или маловероятного сценария;
• теоретические атаки без доказательства возможности использования;
• ранее обнаруженные уязвимости или проблемы.
Известные проблемы или ранее обнаруженные уязвимости
Часть уязвимостей в наших сервисах нам уже известна, и мы работаем над их устранением. Известные нам уязвимости вознаграждению не подлежат. Для доказательства того, что уязвимость была известна до вашего отчета, команда кибербезопасности ООО «Сбер2B» готова предоставить необходимые подтверждения с датами предшествующими направлению отчета (тикет в Jira, заявка в Naumen или письмо в почте).
Правила программы Bug Bounty
Участвуя в нашей программе, вы подтверждаете, что прочитали и согласились с нижеуказанными правилами.
Правила для исследователя
- К участию в Программе Bug Bounty не допускаются:
• действующие сотрудники ООО «Сбер2B» и компаний группы Сбер2B;
• бывшие сотрудники ООО «Сбер2B» и компаний группы Сбер2B, трудовой договор с которыми был расторгнут менее трех лет назад;
• подрядчики, которым предоставляется доступ к инфраструктуре ООО «Сбер2B» и инфраструктуре компаний группы Сбер2B. - Исследование должно осуществляться с использованием актуальной версии web-браузера.
- Исследование должно производится с использованием собственной учетной записи. При регистрации учетной записи в поле «Фамилия» используйте «BugBounty» – это поможет избежать потенциальной блокировки.
- Если в процессе исследования безопасности наших сервисов вам необходимо несколько учетных записей, то создавайте только те учетные записи, которые требуются для исследования и подтверждения выявленных уязвимостей.
- Запрещается использование скомпрометированных аккаунтов и ресурсов.
- В ходе исследования запрещено использование методов социальной инженерии в отношении сотрудников ООО «Сбер2B», наших подрядчиков или клиентов.
- Для уточнения области исследования и согласования тех или иных действий необходимо обращаться к команде кибербезопасности ООО «Сбер2B» – bug-hunters@sberanalytics.ru.
- Трафик, сгенерированный внешними исследователями, может быть классифицирован как вредоносный. Для предотвращения возникновения связанных с данным фактом проблем добавляйте следующий HTTP-заголовок ко всем исходящим запросам – «Bug-Bounty: Username», где Username – ваш никнейм на платформе Standoff 365.
- Не применяйте деструктивное автоматическое тестирование.
- Запрещается выполнение действий, которые могут негативно повлиять на исследуемые сервисы ООО «Сбер2B», в том числе запрещено создание высоких нагрузок.
- Предполагая значительное влияние на работоспособность сервиса, необходимо связаться с нашей командой кибербезопасности для координации действий.
- Ваши действия не должны изменять, повреждать или уничтожать данные в наших сервисах или негативно влиять на наших пользователей (для подтверждения наличия уязвимости используйте минимально возможный PoC).
- Не допускайте, чтобы ваши действия привели к возникновению еще большего числа уязвимостей, чем их было на момент обнаружения.
- Соблюдайте конфиденциальность и приватность пользователей наших сервисов.
- Не раскрывайте информацию о найденной уязвимости публично без согласования команды кибербезопасности ООО «Сбер2B».
- Запрещается разглашение полученной информации, способное нанести финансовые, репутационные или иные риски ООО «Сбер2B».
- Запрещается использовать обнаруженную уязвимость в личных целях.
- Отчет об уязвимости должен обязательно содержать информацию, которая позволит воспроизвести всю последовательность ваших действий.
- Отчеты со статусом «Недостаточно информации от хакера» без активности в течение 30 дней закрываются на усмотрение команды кибербезопасности ООО «Сбер2B».
- Уязвимость, выявленная на тестовом стенде, рассматриваются нами как информационная и будет вознаграждена, если аналогичная уязвимость выявлена в промышленном сервисе.
Правила для команды кибербезопасность ООО «Сбер2B»
- Отчет об уязвимости проверяется (триажируется) командой платформы Standoff 365 (АО «Позитив Текнолоджиз»).
- Командой кибербезопасности ООО «Сбер2B» рассматриваются материалы (отчет и результат триажа) о найденной уязвимости и определяется размер вознаграждения в срок, не превышающий 30 дней. Однако данный срок может быть увеличен при дополнительном информировании.
- Для коммуникации с исследователем команда кибербезопасности ООО «Сбер2B» использует платформу Standoff 365.
- Если несколько уязвимостей обусловлены одним и тем же недостатком (например, неправильной конфигурацией сервера), то при оценке и принятии решения о возможном вознаграждении они рассматриваются как одна уязвимость.
- При обнаружении 0-day или 1-day уязвимости официальный патч, которой был менее 30 дней назад, вознаграждение производится на усмотрение команды. Общедоступная 0-day или 1-day уязвимость будет отнесена к дубликату, в случае если уязвимость известна команде и ведутся работы над ее устранением.
- Если обнаружена ранее известная уязвимость, то вознаграждение не производится.
- При получении отчета о ранее найденной уязвимости к вознаграждению рассматривается только первый полученный отчет (при условии, что описанная в отчете уязвимость может быть полностью воспроизведена). Выплата вознаграждения производится только первому исследователю, сообщившему об уязвимости. Все последующие отчеты, содержащие в себе эту же уязвимость, будут помечены как дубликат, и вознаграждение по ним не выплачивается.
- Окончательное решение о приеме уязвимости, определении ее критичности и размере вознаграждения остается за командой кибербезопасности ООО «Сбер2B». Определение размера вознаграждения зависит от категории уязвимости, степени критичности уязвимости, а также механизмов ее реализации, детализации описания способов эксплуатации и полноты отчета.
- Команда кибербезопасности ООО «Сбер2B» оставляет за собой право отклонять отчеты, нарушающие правила программы.
- Команда кибербезопасности ООО «Сбер2B» может изменить настоящую программу, в том числе прекратить ее действие в одностороннем порядке без специального уведомления.
Требования к отчету
Отчет – это подробное описание исследователем конкретной уязвимости, выявленной в сервисах ООО «Сбер2B» и компаниях группы Сбер2B. Чтобы наша команда смогла оперативно отреагировать на найденную уязвимость, отчет должен включать в себя:
• наименование и описание найденной уязвимости;
• критичность уязвимости согласно стандартам CVSS v4.0/CVSS v3.1;
• данные уязвимого ресурса (URL, IP-адрес или наименование уязвимого сервиса);
• пошаговая инструкция, позволяющая воспроизвести уязвимость (по возможности скриншоты, видео, тексты запросов/ответов, код используемого эксплойта и иные материалы, необходимые для воспроизведения уязвимости);
• пояснение потенциального ущерба от эксплуатации найденной уязвимости;
• предложения по устранению уязвимости / митигации рисков (опционально).
• наименование и описание найденной уязвимости;
• критичность уязвимости согласно стандартам CVSS v4.0/CVSS v3.1;
• данные уязвимого ресурса (URL, IP-адрес или наименование уязвимого сервиса);
• пошаговая инструкция, позволяющая воспроизвести уязвимость (по возможности скриншоты, видео, тексты запросов/ответов, код используемого эксплойта и иные материалы, необходимые для воспроизведения уязвимости);
• пояснение потенциального ущерба от эксплуатации найденной уязвимости;
• предложения по устранению уязвимости / митигации рисков (опционально).
Определение критичности уязвимости
В качестве ориентира мы используем стандарты CVSS v4.0/CVSS v3.1. Однако показатели стандарта CVSS требуют интерпретации с учетом нюансов бизнес-логики и архитектуры наших систем. Команда кибербезопасности ООО «Сбер2B» оставляет за собой право принимать окончательное решение в отношении критичности найденной уязвимости.
Вознаграждение
Мы ценим ваш труд и предлагаем денежное вознаграждение за найденную уязвимость для web-сервисов с учетом следующей градации:
| Уязвимость | Пояснение | Максимальный размер вознаграждения |
|---|---|---|
| Удаленное исполнение кода | RCE | 50 000 - 100 000 ₽ |
| Использование и выполнение локальных файлов на серверной стороне | LFI | 25 000 - 50 000 ₽ |
| Доступ к локальным файлам и работа с ними | LFR, RFI, XXE | 5 000 - 25 000 ₽ |
| Подделки запросов на стороне сервера (c раскрытием чувствительной информации) | SSRF | 5 000 - 25 000 ₽ |
| Уязвимость на стороне сервера (c раскрытием чувствительной информации) | IDORs | 2 500 - 25 000 ₽ |
| Обход аутентификации | Authentication Bypass | 10 000 - 15 000 ₽ |
| Недостаточная аутентификация/авторизация | IAA | 5 000 - 15 000 ₽ |
| Межсайтовое выполнение сценариев | XSS (кроме Self-XSS) | 1 500 - 5 000 ₽ |
| Межсайтовая подделка запросов | CSRF | 1 500 - 5 000 ₽ |
| Инъекции (с получением доступа к критичным данным) | SQL/XML-инъекции | 25 000 - 50 000 ₽ |
| Нарушения бизнес-логики | Business logic vulnerabilities | Оценивается индивидуально |
| Уязвимости контроля доступа | Access control vulnerabilities | 2 500 - 15 000 ₽ |
| Повышение привилегий | Privilege escalation | 15 000 - 50 000 ₽ |
| Иная подтвержденная уязвимость | -- | Оценивается индивидуально |
Опубликованный в данной Программе Bug Bounty порядок вознаграждения является ориентировочным, окончательное решение о сумме вознаграждения принимается командой кибербезопасности ООО «Сбер2B».