1. O programie Bug Bounty

Program Bug Bounty ma na celu zwiększenie bezpieczeństwa aplikacji i usług Vivid Money. Program Bug Bounty jest skierowany do zewnętrznych badaczy, którzy akceptują jego regulamin. Wszystkie zgłoszenia od zewnętrznych badaczy są rozpatrywane indywidualnie. Nagrody w ramach programu Bug Bounty są możliwe wyłącznie na warunkach opisanych w tym programie. Vivid Money zastrzega sobie prawo do nieodpowiadania na zgłoszenia badawcze, odmowy prawa do wynagrodzenia, żądania dodatkowych informacji, a także do zmiany zasad i warunków programu.

2. Polityka prywatności

Wszelkie interakcje w ramach programu Bug Bounty są możliwe wyłącznie po podpisaniu umowy NDA (umowy o zachowaniu poufności) między Vivid Money a badaczem. Bez pisemnej zgody Vivid Money badaczom zabrania się ujawniania wykrytych podatności, informacji o wykrytych podatnościach, a także udostępniania jakichkolwiek informacji o pracach związanych z wyszukiwaniem podatności w aplikacjach i usługach Vivid Money. Vivid Money zastrzega sobie prawo do odrzucenia wniosków o publiczne ujawnienie podatności wykrytych w aplikacjach i usługach Vivid Money.

3. Zakres dla badaczy

Vivid Money to ekosystem składający się z różnych aplikacji i usług dostępnych przez ujednolicony interfejs aplikacji mobilnej oraz zasoby internetowe. Zakres wyszukiwania podatności obejmuje:

*.vivid.money
Aplikacja mobilna iOS: https://apps.apple.com/de/app/id1504417378
Aplikacja mobilna Android: https://play.google.com/store/apps/details?id=vivid.money

Zgłoszenia wykraczające poza ten zakres nie będą rozpatrywane.

4. Ograniczenia

Program Bug Bounty obejmuje wyłącznie podatności techniczne i logiczne, które mogą występować w aplikacjach i usługach Vivid Money. Program Bug Bounty nie obejmuje podatności należących do jednej z następujących kategorii:

Spam.
Podatności wymagające socjotechniki/phishingu.
Zgłoszenia phishingu i innych technik socjotechnicznych.
Ataki DDOS.
Hipotetyczne problemy bez praktycznego wpływu.
Luki bezpieczeństwa w aplikacjach/bibliotekach firm trzecich oraz na stronach internetowych firm trzecich zintegrowanych z Vivid Money.
Wyniki skanerów lub raporty wygenerowane przez skanery.
Problemy wykryte za pomocą testów automatycznych.
Publicznie ujawnione błędy w oprogramowaniu internetowym w ciągu 30 dni od ich ujawnienia.
Ataki typu Man-in-the-Middle.
Wstrzykiwanie nagłówka Host bez konkretnego, możliwego do wykazania wpływu.
Self-XSS bez możliwości ataku na innych użytkowników.
CSRF przy logowaniu/wylogowaniu.
CSRF i XSS bez wpływu na dane wrażliwe.
Obejście sprawdzania roota i jailbreaku.
Zgłoszenia dotyczące możliwości inżynierii wstecznej aplikacji mobilnej.
Informacje o adresach IP, rekordach DNS i otwartych portach.
Ujawnienie publicznych informacji o użytkownikach.
Clickjacking.
Zgłoszenia dotyczące wad korzystania z kodów SMS.
Możliwość nieograniczonego wysyłania SMS-ów i e-maili.
Zgłoszenia nieprawidłowej implementacji zaokrągleń przy przeliczeniach przelewów między kontami rozliczeniowymi, oszczędnościowymi i maklerskimi.
Brak zalecanych mechanizmów bezpieczeństwa bez dodatkowego wektora ataku (np. nagłówków bezpieczeństwa HTTP, flag bezpieczeństwa plików cookie lub ochrony przed CSRF).
Niebezpiecznie skonfigurowany TLS lub SSL bez wektora ataku.
Open Redirect bez dodatkowego wektora ataku (np. kradzieży tokena autoryzacyjnego).
Podmiana treści na stronie.
Podatności wymagające realizacji złożonych lub mało prawdopodobnych scenariuszy interakcji użytkownika.
Tabnabbing.
Full Path Disclosure.
Podatności, których warunkiem koniecznym do wykorzystania jest obecność złośliwego oprogramowania, uprawnień roota lub jailbreaku na urządzeniu.
Korzystanie z przestarzałego lub potencjalnie podatnego oprogramowania bez dodatkowego wektora ataku.
Ujawnienie informacji technicznych lub niewrażliwych (np. wersji produktów lub używanego oprogramowania).
Problemy związane z Cache-Control.
Brak flag bezpieczeństwa w plikach cookie.
Błędy UX/UI i literówki.
Broken Link Hijacking.
Problemy z aplikacją mobilną:

5. Zasady i warunki

5.1 Zasady ogólne

Podczas wyszukiwania podatności w aplikacjach i usługach Vivid Money należy przestrzegać następujących zasad:

Do testów należy używać wyłącznie własnych kont.
Do testów możesz używać danych logowania innych użytkowników, pod warunkiem że wyraźnie zgodzili się na ich udostępnienie.
Vivid Money nie wydaje dodatkowych dostępów ani kont (w tym kont testowych) na potrzeby testów.
Wszelkie próby uzyskania dostępu do cudzych danych logowania użytkowników aplikacji i usług Vivid Money są zabronione.
Podczas wyszukiwania podatności zabronione jest naruszanie integralności, dostępności i poufności aplikacji i usług Vivid Money.
Zabronione są wszelkie działania, które mogłyby zaszkodzić aplikacjom, infrastrukturze, klientom i partnerom firmy. Uwaga: przykłady zabronionych działań: socjotechnika, phishing, ataki typu odmowa usługi, kompromitacja
Do potwierdzenia istnienia podatności należy stosować minimalny adekwatny zestaw testów. Testy nie mogą wpływać na innych użytkowników ani na wydajność aplikacji i usług Vivid Money Uwaga: jeśli ten warunek nie jest spełniony, badanie podatności jest surowo zabronione.

5.2 Kolejność priorytetów zgłoszeń

Zgłoszenia dotyczące następujących podatności mogą być rozpatrywane w pierwszej kolejności:

Zdalne wykonanie kodu (RCE).
Wstrzyknięcia (np. SQL injection).
XXE.
LFR/LFI/RFI.
SSRF.
Wycieki pamięci.
Podatności logiki biznesowej.
IDOR.
Podatności kontroli dostępu.
Ujawnienie informacji wrażliwych.
Przejęcie konta.
Brak uwierzytelniania / autoryzacji.
XSS i CSRF z wpływem na dane wrażliwe.

5.3 Zasady testowania RCE

Podczas testowania RCE zabronione są wszelkie działania na serwerze z wyjątkiem:

Wykonywania poleceń ifconfig (ipconfig), hostname, whoami.
Utworzenia pustego pliku w katalogu bieżącego użytkownika.

Wszystkie inne działania muszą być uzgodnione z zespołem bezpieczeństwa Vivid Money.

5.4 Zasady testowania SQL injection

Podczas testowania SQL injection zabronione są wszelkie działania na serwerze z wyjątkiem:

Uzyskania informacji o bieżącej bazie danych, jej wersji, bieżącym użytkowniku lub nazwie hosta.
Uzyskania schematu bazy danych, listy jej tabel oraz nazw kolumn w tabelach.
Wykonywania zapytań matematycznych, konwersji lub zapytań logicznych (w tym z użyciem SLEEP) bez pobierania danych (innych niż wymienione powyżej).

Wszystkie inne działania muszą być uzgodnione z zespołem bezpieczeństwa Vivid Money.

5.5 Zasady przesyłania i odczytywania plików

Podczas testowania przesyłania i odczytywania plików zabronione jest wykonywanie następujących działań:

Odczytywanie, zmienianie, modyfikowanie, usuwanie i podmienianie jakichkolwiek plików na serwerze (w tym plików systemowych).
Przesyłanie plików, które mogłyby spowodować odmowę usługi (np. dużych plików).
Przesyłanie złośliwych plików (np. malware lub spyware).

6. Określanie krytyczności podatności

Poziom krytyczności wykrytych podatności określa zespół bezpieczeństwa Vivid Money. Po otrzymaniu raportu od badaczy zespół bezpieczeństwa Vivid Money przeprowadza własne testy i określa poziom krytyczności wykrytej podatności. Przy określaniu poziomu krytyczności brane są pod uwagę również następujące czynniki:

Poziom uprawnień wymagany do przeprowadzenia ataku.
Trudność wykrycia i wykorzystania.
Konieczność interakcji z użytkownikiem.
Wpływ na integralność, dostępność i poufność danych, których dotyczy podatność.
Wpływ na ryzyko biznesowe i ryzyko utraty reputacji.
Liczba użytkowników, których dotyczy podatność.

7. Wymagania dotyczące raportów

Jeden raport powinien opisywać jedną podatność. Wyjątkiem są przypadki, gdy podatności są ze sobą powiązane lub można je połączyć w łańcuch. Raport o podatności powinien zawierać następujące informacje:

Opis podatności (ocena, wpływ, krytyczność itp.).
Wektor ataku.
Kroki odtworzenia.
Analizę krytyczności.
Rekomendacje dotyczące usunięcia.
Typ podatności.
Zrzuty ekranu lub nagranie wideo potwierdzające istnienie podatności i pokazujące kroki odtworzenia.
Przykład sformatowanego zapytania.

Niespełnienie wymagań dotyczących raportu może skutkować obniżeniem kwoty wynagrodzenia. Jeśli raport nie zawiera wystarczających danych do weryfikacji podatności, wynagrodzenie nie zostanie wypłacone.

8. Czas rozpatrywania raportu

Każdy raport jest rozpatrywany indywidualnie przez zespół bezpieczeństwa Vivid Money. Czas rozpatrywania raportu zależy od stopnia krytyczności wykrytej podatności oraz obciążenia zespołu. Średnio każdy raport jest rozpatrywany w ciągu DWÓCH TYGODNI.

9. Nagrody

Nagroda jest wypłacana wyłącznie za wykrycie wcześniej nieznanych podatności. Wypłata następuje pod warunkiem przestrzegania wszystkich warunków, zasad i ograniczeń tego programu; w przypadku ich naruszenia wypłata nie jest realizowana.

10. Wypłata nagrody

Nagroda jest wypłacana wyłącznie za pierwszy otrzymany raport o wykrytej podatności. Wypłata następuje pod warunkiem, że raport zawiera wszystkie informacje niezbędne do potwierdzenia podatności. Wszelkie kolejne raporty dotyczące tej samej podatności lub zawierające podobne wektory ataku zostaną oznaczone jako duplikaty. Wysokość wypłaconej nagrody jest ostateczna i nie podlega negocjacjom. Wypłata następuje pod warunkiem, że badacz prześle wszystkie informacje wymagane w fakturze. Faktura do wypełnienia zostanie przesłana osobno.

11. Kontakt

Informacje o wykrytych podatnościach należy przesyłać na adres bugbounty@vivid.money. Temat wiadomości e-mail powinien zaczynać się od frazy [BugBountyReport]. Przykład: [BugBountyReport]: SQL injection.