Seems like there is a more localized page available for your location.
Store

Résumé du panier ()

Total (undefined articles)TVA incluse undefined%. Les frais de port seront calculés lors du paiement.

Continuer mes achats

Série Bee de Synology
Produits de A à Z
Store
Programme de primes de sécurité
À mesure que les menaces évoluent, augmentent et se complexifient, Synology travaille avec des chercheurs en sécurité pour maintenir et consolider nos protections.
Champ d'application du produitCe programme accepte uniquement les rapports de vulnérabilités liés aux produits et services Web de Synology. Les rapports de vulnérabilités qui ne relèvent pas du champ d'application du programme ne donnent généralement pas droit à des récompenses. Cependant, les rapports de vulnérabilités critiques qui ne sont pas concernés sont parfois acceptés en fonction de la situation.

Systèmes d'exploitation

Récompenses jusqu'à

30 000 dollars américains

Comprend Synology DiskStation Manager, Synology Router Manager et Synology BeeStation.

En savoir plus

Logiciels et services cloud C2

Récompenses jusqu'à

10 000 dollars américains

Inclut les paquets logiciels développés par Synology, les applications mobiles associées et les services cloud C2.

En savoir plus

Services Web

Récompenses jusqu'à

5 000 dollars américains

Inclut tous les principaux services Web Synology.

En savoir plus
Détails de la récompense
Critères d'éligibilité aux récompenses
Fournissez toutes les informations dont nous avons besoin pour reproduire les problèmes signalés. La taille de chaque récompense dépend de la gravité de la vulnérabilité signalée et de la catégorie de produit concernée.Pour bénéficier de récompenses financières, les rapports doivent répondre aux critères suivants :
  1. Vous êtes le premier chercheur à signaler cette vulnérabilité.
  2. La vulnérabilité signalée est confirmée comme étant vérifiable, réplicable et un problème de sécurité valide.
  3. Votre rapport est conforme aux conditions et réglementations du programme de primes
Signalement des bugs de sécuritéSi vous pensez avoir identifié une vulnérabilité, suivez les étapes ci-dessous :
Étape 1

Contactez-nous via le formulaire de contact du programme de primes de sécurité.

Étape 2

Utilisez cette clé PGP pour chiffrer vos informations lors de l'envoi de rapports de bugs à Synology.

Étape 3

Incluez une démonstration de faisabilité détaillée et assurez-vous que les problèmes signalés peuvent être reproduits.

Étape 4

Donnez une description succincte. Par exemple, une courte démonstration de faisabilité est plus appréciée qu'une vidéo expliquant les conséquences d'un problème SSRF.

Vos responsabilités et celles de notre sociétéVotre rapportPour réduire notre temps de traitement, un bon rapport de vulnérabilités doit :
  1. contenir une description détaillée et claire en anglais de la façon de reproduire la vulnérabilité ;
  2. montrer comment la vulnérabilité affecte les produits ou services Web Synology et décrire les versions et plateformes concernées ;
  3. indiquer les dommages potentiels causés par la vulnérabilité signalée.
Notre réponse
L'équipe de sécurité de Synology répondra à votre rapport dans un délai de 7 jours et mettra régulièrement à jour l'état et corrigera la vulnérabilité dès que possible, en fonction de la gravité de la menace existante.Si votre rapport de vulnérabilités vous donne droit à une récompense financière, votre nom est inscrit sur la page Conseils de sécurité sur les produits Synology de notre site Web officiel pour vous remercier.Ce processus prend au moins 90 jours. Une fois le processus terminé, votre récompense vous est transférée.
Remarques :Synology se réserve le droit de modifier ou d'annuler ce programme, notamment ses politiques, à tout moment et sans préavis.
Systèmes d'exploitation
Récompense

Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 30 000 dollars américains.*

Produits concernés

Seuls les rapports sur les versions officiellement publiées sont acceptés.

DiskStation Manager (DSM)

  • DSM 7 (dernière version)

Synology Router Manager (SRM)

  • SRM 1.3 (dernière version)

Firmware Synology Camera

  • Micrologiciel 1.1 (dernière version)

Synology BeeStation

  • OS BeeStation 1.0 (dernière version)
Réglementations et restrictions

Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises.

Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent :

  1. des attaques DoS (déni de service) visant les serveurs de Synology ou les serveurs des utilisateurs ;
  2. des tests de vulnérabilité qui ont une incidence néfaste sur les serveurs de Synology ou les données des utilisateurs ;
  3. des attaques physiques ou manipulations sociales ;
  4. la divulgation d'informations relatives à des bugs sans notre approbation ;
  5. des vulnérabilités non critiques sur des services ou produits obsolètes ;
  6. une vulnérabilité affectant uniquement des navigateurs obsolètes ;
  7. la plupart des attaques par force brute ;
  8. des attaques par script intersites XSS ou attaques Self XSS pris en charge ;
  9. des vulnérabilités qui concernent l'hameçonnage, la création de faux sites Web, ou des actes de fraude ;
  10. des rapports d'analyse de vulnérabilité de fraude qui ne détaillent pas les effets de la vulnérabilité ;
  11. des signes indiquant que les ports par défaut sont vulnérables, mais sans fournir de démonstration de faisabilité.
  12. Vulnérabilités théoriques sans preuve de concept concret (PoC)
  13. Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative
  14. En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation
  15. Drapeaux de sécurité manquants dans les cookies
  16. Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.
*Voir la page des détails des récompenses sur la page web du programme de bugs de sécurité pour plus de détails.
**La récompense maximale pour les vulnérabilités dans SRM_LAN est de 5 000 $.
***La récompense maximale pour les vulnérabilités dans le firmware de la caméra est de 10 000 $.
Logiciels et services cloud C2
Récompense

Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 10 000 dollars américains.*

Produits concernés

Seuls les rapports sur les versions officiellement publiées sont acceptés.

Paquets

Paquets logiciels développés par Synology

Clients pour poste de travail

Applications Windows, macOS et Linux développées par Synology

Applications mobiles

Applications mobiles développées par Synology pour Android et iOS

Compte Synology

  • *Domaines .account.synology.com
  • *Domaines .identity.synology.com

Services C2

*Domaines c2.synology.com

Réglementations et restrictions

Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises.

Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent :

  1. Attaques DoS (Denial of Service) sur les serveurs de Synology ou des utilisateurs
  2. Tests de vulnérabilité nuisibles aux serveurs ou aux données de Synology ou des utilisateurs
  3. Attaques physiques ou ingénierie sociale
  4. Divulgation d'informations sur les bogues avant l'approbation par Synology
  5. Vulnérabilités non critiques dans des services ou produits obsolètes
  6. Vulnérabilités affectant uniquement les navigateurs web obsolètes
  7. La plupart des types d'attaques par force brute
  8. Attaques XSS reflétées ou attaques XSS auto-infligées
  9. Vulnérabilités impliquant le phishing, la création de faux sites web, ou la fraude
  10. Rapports de scan de vulnérabilité qui ne détaillent pas les effets de la vulnérabilité
  11. Indications que les ports par défaut sont vulnérables, mais sans fournir de PoC
  12. Vulnérabilités théoriques sans preuve de concept concret (PoC)
  13. Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative
  14. En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation
  15. Drapeaux de sécurité manquants dans les cookies
  16. Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.
*Voir la page des détails de la récompense sur la page web du programme de sécurité pour plus de détails.
Services Web
Récompense

Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 5 000 dollars américains.*

Produits concernés

Les domaines suivants (y compris les sous-domaines) sont concernés :

*.synology.com

Les domaines suivants (y compris les sous-domaines) ne sont pas concernés :

openstack-ci-logs.synology.com, router.synology.com

Synology se réserve le droit de modifier cette liste à tout moment et sans préavis.

Réglementations et restrictions

Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises.

Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent :

  1. Attaques DoS (Denial of Service) sur les serveurs de Synology ou des utilisateurs
  2. Tests de vulnérabilité nuisibles aux serveurs ou aux données de Synology ou des utilisateurs
  3. Attaques physiques ou ingénierie sociale
  4. Divulgation d'informations sur les bogues avant l'approbation par Synology
  5. Vulnérabilités non critiques dans des services ou produits obsolètes
  6. Vulnérabilités affectant uniquement les navigateurs web obsolètes
  7. La plupart des types d'attaques par force brute
  8. Attaques XSS reflétées ou attaques XSS auto-infligées
  9. Vulnérabilités impliquant le phishing, la création de faux sites web, ou la fraude
  10. Rapports de scan de vulnérabilité qui ne détaillent pas les effets de la vulnérabilité
  11. Indications que les ports par défaut sont vulnérables, mais sans fournir de PoC
  12. Vulnérabilités théoriques sans preuve de concept concret (PoC)
  13. Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative
  14. En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation
  15. Drapeaux de sécurité manquants dans les cookies
  16. Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.
*Voir la page des détails de la récompense sur la page web du programme de sécurité pour plus de détails.
Détails de la récompense
Cette page est conçue pour aider les chercheurs à comprendre les récompenses maximales potentielles pour des types spécifiques de vulnérabilités et pour mettre en évidence les types de vulnérabilités que Synology valorise le plus. Nous apprécions vos contributions et nous nous engageons à récompenser équitablement les recherches de sécurité significatives.Les récompenses dans le tableau montrent le maximum possible pour chaque catégorie, mais chaque rapport qualifié n'est pas garanti de recevoir le montant indiqué.*
Critique
Systèmes d'exploitationServices logiciels et C2 cloudServices web
Zero-click pre-auth RCE30,000 $10,000 $5,000 $
Zero-click pre-auth arbitrary file r/w9,000 $4,600 $2,400 $
Important
Systèmes d'exploitationLogiciels et services C2 CloudServices web
1-click pre-auth RCE8,000 $4,000 $2,000 $
Zero-click normal-user-auth RCE7,500 $3,900 $1,900 $
Zero-click normal-user-auth arbitrary file r/w6,500 $3,400 $1,700 $
Zero-click pre-auth RCE (AC:H)6,500 $3,400 $1,700 $
1-click pre-auth RCE (AC:H)5,000 $2,500 $1,325 $
pre-auth SQL injection3,800 $1,950 $1,025 $
1-click normal-user-auth RCE (AC:H)2,600 $1,350 $725 $
pre-auth stored XSS2,600 $1,350 $725 $
Modéré
Systèmes d'exploitationLogiciels et services C2 CloudServices web
normal-user-auth stored XSS1,350 $733 $417 $
normal-user-auth SQL injection1,200 $607 $353 $
admin-auth vulnerabilities100 $100 $100 $
  1. À partir du 1er octobre 2024, les récompenses pour les vulnérabilités admin-auth seront fixées à 100 $ USD.
  2. Pour les clients de bureau, si le vecteur CVSS inclut l'un des éléments suivants, la récompense est fixée à 100 $ USD :
    • AV:L
    • AV:A
    • AV:N/AC:H

Remarques :

  • Veuillez noter que bien que des directives pour les récompenses soient fournies, chaque rapport est traité individuellement et évalué minutieusement. L'évaluation prend en compte divers facteurs, y compris mais sans se limiter à la portée détaillée dans la grille des récompenses. Synology se réserve le droit d'interprétation finale des montants des récompenses.
  • Pour les questions classées comme étant de faible gravité ou les suggestions, seuls des remerciements seront fournis.
FAQComment dois-je signaler une vulnérabilité ?Veuillez fournir un PoC (Proof of Concept) détaillé et vous assurer que les problèmes signalés peuvent être reproduits. Utilisez la clé de cryptage PGP offerte par Synology lorsque vous nous envoyez des rapports de bugs et ne divulguez pas les informations pertinentes à des tiers.Qui est chargé de déterminer si mon rapport de bogue est éligible à une récompense ?Tous les rapports de bugs sont examinés et évalués par l'équipe de sécurité de Synology, composée des analystes expérimentés en matière de sécurité de Synology.Quelles sont les conséquences si un bug est divulgué publiquement avant d'être corrigé ?Nous nous efforçons de répondre rapidement aux rapports de bugs et de les résoudre dans un délai raisonnable. Avant de divulguer publiquement les informations relatives aux bugs, merci de nous consulter à l'avance. Toute divulgation de bugs, sans suivre ce principe ne sera pas éligible à une récompense.Les vulnérabilités détectées dans les logiciels obsolètes tels qu'Apache ou Nginx sont-elles éligibles à une récompense ?Identifiez les vulnérabilités du logiciel et expliquez pourquoi vous pensez qu'elles ont une incidence néfaste sur l'utilisation du logiciel. Les rapports ne contenant pas ce type d'informations ne sont généralement pas éligibles à une prime.Puis-je demander à ce que mon nom ne figure pas sur la page des avis de sécurité de Synology ?Oui. Vous pouvez demander à ne pas être répertorié sur notre page Conseils de sécurité. Cependant, si vous êtes éligible à une récompense et que vous souhaitez l'accepter, nous aurons besoin de vos coordonnées pour traiter le paiement.Les vulnérabilités sont-elles toujours éligibles à une récompense si elles sont signalées aux agents en vulnérabilités ?La divulgation privée d'une vulnérabilité à des tiers à des fins autres que la correction de bugs est contraire à l'esprit de notre programme. Par conséquent, ces rapports ne seront pas éligibles à une récompense.Dans le cas où un même bug est signalé par plusieurs personnes, qui est éligible à une prime ?La récompense est accordée à la première personne qui découvre une vulnérabilité qui nous était jusque-là inconnue.
RemerciementsNous voudrions remercier les chercheurs et organisations en sécurité qui nous ont aidés.
  • 2024
  • 2023
  • 2022
  • 2021
  • 2020
  • 2019
  • 2018
  • 2017
  • Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
  • Tim Coen (https://security-consulting.icu/)
  • Mykola Grymalyuk from RIPEDA Consulting
  • Zhao Runzi (赵润梓)
  • Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
  • Offensive Security Research @ Ronin (https://ronin.ae/)
  • Nathan (Yama) https://DontClickThis.run
  • M Tayyab Iqbal (www.alphainferno.com)
  • Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
  • Wonbeen Im, STEALIEN (https://stealien.com)
  • 赵润梓、李建申（https://lsr00ter.github.io）
  • Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
  • Steven Lin (https://x.com/5teven1in)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
  • Mohd Ali (revengerali)
  • Orange Tsai (@orange_8361) from DEVCORE Research Team
  • Bocheng Xiang with FDU(@crispr)
  • HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
  • Hydrobikz (https://www.linkedin.com/in/bikash-)
  • Can Acar (https://imcan.dev)
  • Yves Bieri of Compass Security (https://www.compass-security.com)
  • DEVCORE Research Team (https://devco.re/)
  • aoxsin (https://twitter.com/aoxsin)