1. Om Bug Bounty-programmet

Bug Bounty-programmet har som mål å styrke sikkerheten i Vivid Moneys applikasjoner og tjenester. Bug Bounty-programmet gjelder eksterne forskere som godtar vilkårene for dette programmet. Alle henvendelser fra eksterne forskere vurderes individuelt. Belønninger i Bug Bounty-programmet gis bare i henhold til vilkårene som er beskrevet i dette programmet. Vivid Money forbeholder seg retten til ikke å svare på henvendelser, nekte belønning, be om tilleggsinformasjon og endre programmets regler og vilkår.

2. Personvern

All samhandling innenfor Bug Bounty-programmet er bare mulig etter at Vivid Money og forskeren har signert en taushetserklæring (NDA). Uten skriftlig samtykke fra Vivid Money har forskere ikke lov til å offentliggjøre oppdagede sårbarheter eller informasjon om dem, og heller ikke dele informasjon om arbeidet med å finne sårbarheter i Vivid Moneys applikasjoner og tjenester. Vivid Money forbeholder seg retten til å avslå forespørsler om offentliggjøring av sårbarheter som er funnet i Vivid Moneys applikasjoner og tjenester.

3. Omfang for forskere

Vivid Money er et økosystem av ulike applikasjoner og tjenester som er tilgjengelige via et felles brukergrensesnitt i mobilappen og via nettressurser. Følgende omfattes av søket etter sårbarheter:

*.vivid.money
Mobilapplikasjon iOS: https://apps.apple.com/de/app/id1504417378
Mobilapplikasjon Android: https://play.google.com/store/apps/details?id=vivid.money

Henvendelser som faller utenfor dette omfanget, blir ikke vurdert.

4. Begrensninger

Bug Bounty-programmet er begrenset til tekniske og logiske sårbarheter i Vivid Moneys applikasjoner og tjenester. Bug Bounty-programmet omfatter ikke sårbarheter i følgende kategorier:

Spam.
Sårbarheter som krever sosial manipulering/phishing.
Rapporter om phishing og andre teknikker for sosial manipulering.
DDoS-angrep.
Hypotetiske problemer uten praktisk betydning.
Sikkerhetssårbarheter i tredjepartsapplikasjoner/-biblioteker og på tredjepartsnettsteder som er integrert med Vivid Money.
Utdata eller rapporter fra skannere.
Problemer som er funnet gjennom automatisert testing.
Offentlig kjente feil i internettprogramvare innen 30 dager etter at de ble offentliggjort.
Man-in-the-middle-angrep.
Host header-injeksjoner uten konkret, påviselig konsekvens.
Self-XSS uten mulighet til å angripe andre brukere.
Login/logout-CSRF.
CSRF og XSS uten påvirkning på sensitive data.
Omgåelse av kontroll for root og jailbreak.
Meldinger om muligheten for omvendt utvikling (reverse engineering) av mobilapplikasjonen.
Informasjon om IP-adresser, DNS-oppføringer og åpne porter.
Offentliggjøring av offentlig tilgjengelig informasjon om brukere.
Clickjacking.
Meldinger om ulemper ved bruk av SMS-koder.
Muligheten til å sende ubegrenset med SMS og e-post.
Rapporter om feil implementering av avrunding ved konverteringsoverføringer mellom beregnings-, samle- og meglerkontoer.
Manglende anbefalte sikkerhetsmekanismer uten en ekstra angrepsvektor (for eksempel HTTP-sikkerhetshoder, sikkerhetsflagg for cookies eller CSRF-beskyttelse).
Usikkert konfigurert TLS eller SSL uten angrepsvektor.
Open Redirect uten en ekstra angrepsvektor (for eksempel tyveri av autorisasjonstoken).
Innholdserstatning på siden.
Sårbarheter som krever komplekse eller usannsynlige scenarioer for brukerinteraksjon.
Tabnabbing.
Full Path Disclosure.
Sårbarheter som bare kan utnyttes hvis det finnes skadelig programvare, root-rettigheter eller jailbreak på enheten.
Bruk av utdatert eller potensielt sårbar programvare uten en ekstra angrepsvektor.
Offentliggjøring av teknisk eller ikke-sensitiv informasjon (for eksempel produktversjoner eller programvare som brukes).
Problemer knyttet til cache-control.
Manglende sikkerhetsflagg i cookies.
UX/UI-feil og skrivefeil.
Broken Link Hijacking.
Problemer med mobilapplikasjonen:

5. Regler og vilkår

5.1 Generelle regler

Ved søk etter sårbarheter i Vivid Moneys applikasjoner og tjenester gjelder følgende regler:

Bare egne kontoer skal brukes til testing.
Andre brukeres påloggingsinformasjon kan brukes til testing hvis de uttrykkelig har samtykket til å gi den.
Vivid Money utsteder ikke ekstra tilganger eller kontoer (heller ikke testkontoer) for testing.
Alle forsøk på å få tilgang til andre brukeres påloggingsinformasjon i Vivid Moneys applikasjoner og tjenester er forbudt.
Ved søk etter sårbarheter er det forbudt å krenke integriteten, tilgjengeligheten og konfidensialiteten til Vivid Moneys applikasjoner og tjenester.
All aktivitet som kan skade selskapets applikasjoner, infrastruktur, kunder og partnere, er forbudt. Merk: eksempler på forbudte aktiviteter er sosial manipulering, phishing, tjenestenektangrep og kompromittering
For å bekrefte at en sårbarhet finnes, skal det brukes et minimalt og tilstrekkelig sett med kontroller. Kontrollene skal ikke påvirke andre brukere eller ytelsen til Vivid Moneys applikasjoner og tjenester Merk: hvis dette vilkåret ikke oppfylles, er undersøkelse av sårbarheter strengt forbudt.

5.2 Prioritert rekkefølge for henvendelser

Henvendelser om lignende sårbarheter kan vurderes i prioritert rekkefølge:

Fjernkjøring av kode (RCE).
Injeksjoner (for eksempel SQL-injeksjoner).
XXE.
LFR/LFI/RFI.
SSRF.
Minnelekkasjer.
Sårbarheter i forretningslogikken.
IDOR.
Sårbarheter i tilgangskontroll.
Offentliggjøring av sensitiv informasjon.
Kontoovertakelse.
Manglende autentisering/autorisasjon.
XSS og CSRF med påvirkning på sensitive data.

5.3 Regler for RCE-testing

Under RCE-testing er alle handlinger på serveren forbudt, med unntak av:

Kjøring av kommandoene ifconfig (ipconfig), hostname og whoami.
Opprettelse av en tom fil i katalogen til gjeldende bruker.

Alle andre handlinger må avtales med sikkerhetsteamet i Vivid Money.

5.4 Regler for testing av SQL-injeksjon

Under testing av SQL-injeksjon er alle handlinger på serveren forbudt, med unntak av:

Hente informasjon om gjeldende database, versjonen, gjeldende bruker eller vertsnavn.
Hente databaseskjemaet, listen over tabeller og kolonnenavn i tabellene.
Kjøre matematiske, konverterende eller logiske spørringer (også med SLEEP) uten å hente ut data (utover det som er nevnt over).

Alle andre handlinger må avtales med sikkerhetsteamet i Vivid Money.

5.5 Regler for opplasting og lesing av filer

Under testing av opplasting og lesing av filer er følgende handlinger forbudt:

Lese, endre, modifisere, slette og erstatte filer på serveren (også systemfiler).
Laste opp filer som kan føre til tjenestenekt (for eksempel store filer).
Laste opp skadelige filer (for eksempel skadevare eller spionprogrammer).

6. Vurdering av sårbarhetens alvorlighetsgrad

Alvorlighetsgraden for funnede sårbarheter fastsettes av sikkerhetsteamet i Vivid Money. Når sikkerhetsteamet i Vivid Money har mottatt rapporten fra forskerne, gjennomfører teamet egne kontroller og fastsetter alvorlighetsgraden for sårbarheten. Ved vurderingen av alvorlighetsgraden tas også følgende faktorer i betraktning:

Rettighetsnivået som kreves for å gjennomføre angrepet.
Hvor vanskelig sårbarheten er å oppdage og utnytte.
Om angrepet krever samhandling med brukeren.
Påvirkning på integriteten, tilgjengeligheten og konfidensialiteten til de berørte dataene.
Påvirkning på forretningsrisiko og omdømmerisiko.
Antall berørte brukere.

7. Krav til rapporteringen

Én rapport skal beskrive én sårbarhet. Unntak gjelder når sårbarheter henger sammen eller kan kombineres i en kjede. Rapporten om sårbarheten skal inneholde følgende informasjon:

Beskrivelse av sårbarheten (vurdering, konsekvens, alvorlighetsgrad osv.).
Angrepsvektor.
Steg for å gjenskape sårbarheten.
Analyse av alvorlighetsgraden.
Anbefalinger for utbedring.
Type sårbarhet.
Skjermbilder eller video som bekrefter sårbarheten og viser stegene for å gjenskape den.
Et eksempel på en formatert spørring.

Hvis kravene til rapporteringen ikke følges, kan belønningen bli redusert. Hvis rapporten ikke inneholder nok data til å kontrollere sårbarheten, utbetales ingen belønning.

8. Behandlingstid for rapporten

Hver rapport vurderes individuelt av sikkerhetsteamet i Vivid Money. Behandlingstiden avhenger av hvor alvorlig den funnede sårbarheten er og av teamets arbeidsmengde. I gjennomsnitt behandles hver rapport innen TO UKER.

9. Belønninger

Belønning utbetales bare for oppdagelse av tidligere ukjente sårbarheter. Utbetalingen skjer i henhold til alle vilkår, regler og begrensninger i dette programmet. Ved brudd på disse utbetales ingen belønning.

10. Utbetaling av belønning

Belønningen utbetales bare for den første mottatte rapporten om en funnet sårbarhet. Utbetalingen forutsetter at rapporten inneholder all informasjon som trengs for å bekrefte sårbarheten. Senere rapporter om samme sårbarhet eller med lignende angrepsvektorer markeres som duplikater. Belønningsbeløpet er endelig og kan ikke forhandles. Utbetalingen forutsetter at forskeren sender all informasjon som etterspørres i fakturaen. Fakturaen sendes separat for utfylling.

11. Kontakt

Informasjon om funnede sårbarheter sendes til bugbounty@vivid.money. Emnefeltet i e-posten skal begynne med [BugBountyReport]. Eksempel: [BugBountyReport]: SQL injection.