Bug Bounty-program

1. Om Bug Bounty-programmet

Bug Bounty-programmet har til formål at styrke sikkerheden i Vivid Moneys applikationer og tjenester.
Bug Bounty-programmet omfatter eksterne researchere, der accepterer programmets vilkår og betingelser.
Alle henvendelser fra eksterne researchere behandles individuelt.
Belønninger under Bug Bounty-programmet er kun mulige på de vilkår og betingelser, der er beskrevet i dette program.
Vivid Money forbeholder sig ret til ikke at besvare henvendelser, til at afvise krav om honorering, til at anmode om yderligere oplysninger samt til at ændre programmets regler og betingelser.

2. Privatlivspolitik

Al interaktion inden for rammerne af Bug Bounty-programmet er først mulig, når der er underskrevet en NDA (fortrolighedsaftale) mellem Vivid Money og researcheren.
Uden skriftligt samtykke fra Vivid Money må researchere ikke offentliggøre fundne sårbarheder eller oplysninger om fundne sårbarheder og heller ikke dele oplysninger om arbejdet med at finde sårbarheder i Vivid Moneys applikationer og tjenester.
Vivid Money forbeholder sig ret til at afvise anmodninger om offentliggørelse af sårbarheder, der er fundet i Vivid Moneys applikationer og tjenester.

3. Omfang for researchere

Vivid Money er et økosystem af forskellige applikationer og tjenester, der er tilgængelige via en samlet brugerflade i mobilappen og via webressourcer.
Sårbarheder kan søges i følgende omfang:

*.vivid.money
Mobilapplikation iOS: https://apps.apple.com/de/app/id1504417378
Mobilapplikation Android: https://play.google.com/store/apps/details?id=vivid.money

Henvendelser, der ligger uden for dette omfang, behandles ikke.

4. Begrænsninger

Bug Bounty-programmet er begrænset til tekniske og logiske sårbarheder, der kan findes i Vivid Moneys applikationer og tjenester.
Bug Bounty-programmet omfatter ikke sårbarheder, der falder ind under en af følgende kategorier:

Spam.
Sårbarheder, der kræver social engineering/phishing.
Rapporter om phishing og andre social engineering-teknikker.
DDoS-angreb.
Hypotetiske problemer uden praktisk betydning.
Sikkerhedssårbarheder i tredjepartsapplikationer/-biblioteker og på tredjepartswebsites, der er integreret med Vivid Money.
Output fra scannere eller scannergenererede rapporter.
Problemer fundet via automatiseret test.
Offentligt kendte fejl i internetsoftware inden for 30 dage efter offentliggørelsen.
Man-in-the-Middle-angreb.
Host header-injektioner uden en konkret, påviselig effekt.
Self-XSS uden mulighed for at angribe andre brugere.
Login/logout-CSRF.
CSRF og XSS uden påvirkning af følsomme data.
Omgåelse af kontrol for root og jailbreak.
Meddelelser om muligheden for reverse engineering af mobilappen.
Oplysninger om IP-adresser, DNS-poster og åbne porte.
Offentliggørelse af offentlige oplysninger om brugere.
Clickjacking.
Meddelelser om ulemper ved brug af sms-koder.
Muligheden for at sende et ubegrænset antal sms'er og e-mails.
Rapporter om forkert implementering af afrunding ved konverteringsoverførsler mellem beregnings-, opsparings- og depotkonti.
Manglende anbefalede sikkerhedsmekanismer uden en yderligere angrebsvektor (f.eks. HTTP-sikkerhedsheadere, sikkerhedsflag på cookies eller CSRF-beskyttelse).
Usikkert konfigureret TLS eller SSL uden en angrebsvektor.
Open Redirect uden en yderligere angrebsvektor (f.eks. tyveri af autorisationstoken).
Udskiftning af indhold på siden.
Sårbarheder, der kræver komplekse eller usandsynlige scenarier for brugerinteraktion.
Tabnabbing.
Full Path Disclosure.
Sårbarheder, der forudsætter skadelig software, root-rettigheder eller jailbreak på enheden.
Brug af forældet eller potentielt sårbar software uden en yderligere angrebsvektor.
Offentliggørelse af tekniske eller ikke-følsomme oplysninger (f.eks. produktversioner eller anvendt software).
Problemer relateret til cache-control.
Manglende sikkerhedsflag på cookies.
UX/UI-fejl og stavefejl.
Broken Link Hijacking.
Problemer med mobilappen:

5. Regler og betingelser

5.1 Generelle regler

Når du søger efter sårbarheder i Vivid Moneys applikationer og tjenester, skal følgende regler overholdes:

Der må kun testes med dine egne konti.
Du må bruge andre brugeres loginoplysninger til test, forudsat at de udtrykkeligt har accepteret at stille dem til rådighed.
Vivid Money udsteder ikke yderligere adgange eller konti (heller ikke testkonti) til test.
Ethvert forsøg på at få adgang til andre brugeres loginoplysninger i Vivid Moneys applikationer og tjenester er forbudt.
Ved søgning efter sårbarheder er det forbudt at krænke integriteten, tilgængeligheden og fortroligheden af Vivid Moneys applikationer og tjenester.
Enhver aktivitet, der kan skade virksomhedens applikationer, infrastruktur, kunder og partnere, er forbudt.
Bemærk: eksempler på forbudte aktiviteter: social engineering, phishing, denial of service-angreb, kompromittering
Der skal bruges et minimalt tilstrækkeligt sæt kontroller til at bekræfte en sårbarhed. Kontrollerne må ikke påvirke andre brugere eller ydeevnen i Vivid Moneys applikationer og tjenester
Bemærk: er denne betingelse ikke opfyldt, er undersøgelse af sårbarheder strengt forbudt.

5.2 Prioriteret rækkefølge for henvendelser

Henvendelser om følgende typer sårbarheder kan behandles med prioritet:

Fjernkørsel af kode (RCE).
Injektioner (f.eks. SQL-injektioner).
XXE.
LFR/LFI/RFI.
SSRF.
Hukommelseslæk.
Sårbarheder i forretningslogikken.
IDOR.
Sårbarheder i adgangskontrol.
Offentliggørelse af følsomme oplysninger.
Kontoovertagelse.
Manglende autentificering/autorisation.
XSS og CSRF med påvirkning af følsomme data.

5.3 Regler for RCE-test

Under RCE-test er alle handlinger på serveren forbudt, undtagen:

Kørsel af kommandoerne ifconfig (ipconfig), hostname, whoami.
Oprettelse af en tom fil i den aktuelle brugers mappe.

Alle andre handlinger skal aftales med Vivid Moneys sikkerhedsteam.

5.4 Regler for test af SQL-injektion

Under test af SQL-injektion er alle handlinger på serveren forbudt, undtagen:

Hentning af oplysninger om den aktuelle database, dens version, den aktuelle bruger eller hostname.
Hentning af databaseskemaet, listen over tabeller og kolonnenavnene i tabellerne.
Udførelse af matematiske, konverterende eller logiske forespørgsler (også med SLEEP) uden at hente data (ud over det ovennævnte).

Alle andre handlinger skal aftales med Vivid Moneys sikkerhedsteam.

5.5 Regler for upload og læsning af filer

Under test af upload og læsning af filer er følgende handlinger forbudt:

At læse, ændre, redigere, slette eller erstatte filer på serveren (også systemfiler).
At uploade filer, der kan forårsage denial of service (f.eks. store filer).
At uploade skadelige filer (f.eks. malware eller spyware).

6. Fastlæggelse af en sårbarheds alvorlighed

Alvorlighedsniveauet for fundne sårbarheder fastlægges af Vivid Moneys sikkerhedsteam.
Når sikkerhedsteamet har modtaget rapporten fra researcheren, foretager det sine egne kontroller og fastlægger alvorlighedsniveauet for den fundne sårbarhed.
Ved fastlæggelsen af alvorligheden tages der også hensyn til følgende faktorer:

Det niveau af rettigheder, der kræves for at gennemføre angrebet.
Hvor svær sårbarheden er at opdage og udnytte.
Om angrebet kræver interaktion med brugeren.
Påvirkningen af integriteten, tilgængeligheden og fortroligheden af de berørte data.
Påvirkningen af forretningsmæssige risici og omdømmerisici.
Antallet af berørte brugere.

7. Krav til rapporteringen

Én rapport skal beskrive én sårbarhed. Undtaget er tilfælde, hvor sårbarheder hænger sammen eller kan kombineres i en kæde.
Rapporten om sårbarheden skal indeholde følgende oplysninger:

Beskrivelse af sårbarheden (score, effekt, alvorlighed osv.).
Angrebsvektor.
Trin til genskabelse.
Analyse af alvorligheden.
Anbefalinger til udbedring.
Type af sårbarhed.
Skærmbilleder eller video, der bekræfter sårbarheden og viser trinene til genskabelse.
Et eksempel på en formateret forespørgsel.

Overholdes kravene til rapporteringen ikke, kan det føre til en lavere belønning.
Indeholder rapporten ikke tilstrækkelige data til at kontrollere sårbarheden, udbetales der ingen belønning.

8. Behandlingstid for rapporten

Hver rapport gennemgås individuelt af Vivid Moneys sikkerhedsteam.
Behandlingstiden afhænger af den fundne sårbarheds alvorlighed og teamets arbejdsbyrde.
I gennemsnit gennemgås hver rapport inden for TO UGER.

9. Belønninger

Belønningen udbetales kun for opdagelse af hidtil ukendte sårbarheder.
Udbetaling sker under forudsætning af, at alle programmets betingelser, regler og begrænsninger er overholdt. Overtrædes de, sker der ingen udbetaling.

10. Udbetaling af belønning

Belønningen udbetales kun for den første modtagne rapport om den fundne sårbarhed.
Udbetaling sker under forudsætning af, at rapporten indeholder alle de oplysninger, der er nødvendige for at bekræfte sårbarheden.
Senere rapporter om den samme sårbarhed eller med lignende angrebsvektorer markeres som dubletter.
Den udbetalte belønning er endelig og kan ikke forhandles.
Udbetaling sker på betingelse af, at researcheren sender alle de oplysninger, der efterspørges i fakturaen. Fakturaen sendes separat til udfyldning.

11. Kontakt

Oplysninger om fundne sårbarheder skal sendes til [email protected].
E-mailens emne skal begynde med [BugBountyReport]. Eksempel: [BugBountyReport]: SQL injection.