Sistemi operativi
Premi fino a
30000
Include Synology DiskStation Manager, Synology Router Manager e Synology BeeStation.
Software e servizi cloud C2
Premi fino a
10000
Include pacchetti software sviluppati da Synology, app mobili correlate e servizi cloud C2.
Servizi web
Premi fino a
5000
Include tutti i principali servizi web di Synology.
- Sei il primo ricercatore a segnalare questa vulnerabilità
- La vulnerabilità segnalata è confermata essere verificabile, replicabile e un valido problema di sicurezza
- Il tuo rapporto è conforme ai termini e regolamenti del Programma di Ricompense
Contattaci utilizzando il modulo di contatto del Programma dei premi.
Utilizza questa chiave PGP per crittografare le informazioni quando invii report di bug a Synology.
Includi una prova di concetto (PoC) dettagliata e assicurati che i problemi segnalati possano essere riprodotti.
Mantieni la tua descrizione concisa. Ad esempio, un link di prova di concetto breve è più apprezzato di un video che spiega le conseguenze di un problema SSRF.
- Contenere una descrizione chiaramente scritta passo dopo passo in inglese su come riprodurre la vulnerabilità
- Dimostrare come la vulnerabilità influisce sui prodotti o sui servizi web di Synology, e descrivere quali versioni e piattaforme sono interessate
- Indicare i danni potenziali causati dalla vulnerabilità segnalata
| Ricompensa | I rapporti qualificati sono idonei per una ricompensa fino a 30.000 dollari USA.* |
|---|---|
| Prodotti nell'ambito | Sono accettate solo segnalazioni su versioni ufficialmente rilasciate. DiskStation Manager (DSM)
Gestore del Router di Synology (SRM)
Firmware della Camera di Synology
Synology BeeStation
|
| Regolamenti e restrizioni | Questo programma è strettamente limitato alle vulnerabilità di sicurezza trovate nei prodotti e servizi di Synology. Azioni che potrebbero danneggiare o influenzare negativamente i server o i dati di Synology sono severamente vietate. I test di vulnerabilità non devono violare le leggi locali o taiwanesi. I rapporti di vulnerabilità non sono accettati nel programma se descrivono o coinvolgono:
|
**La ricompensa massima per le vulnerabilità in SRM_LAN è $5,000.
***La ricompensa massima per le vulnerabilità nel firmware della videocamera è $10,000.
| Ricompensa | I rapporti qualificati sono idonei per una ricompensa fino a 10.000 dollari USA.* |
|---|---|
| Prodotti nell'ambito | Sono accettati solo rapporti su versioni ufficialmente rilasciate. Pacchetti Pacchetti software sviluppati da Synology Client desktop Applicazioni sviluppate da Synology per Windows, macOS e Linux App mobili App mobili sviluppate da Synology per Android e iOS Account Synology
Servizi C2 *.c2.synology.com domini |
| Regolamenti e restrizioni | Questo programma è strettamente limitato alle vulnerabilità di sicurezza trovate nei prodotti e servizi Synology. Azioni che potrebbero potenzialmente danneggiare o influenzare negativamente i server o i dati di Synology sono severamente vietate. I test di vulnerabilità non devono violare le leggi locali o taiwanesi. I rapporti di vulnerabilità non sono accettati nel programma se descrivono o coinvolgono:
|
| Ricompensa | I rapporti qualificati sono idonei per una ricompensa fino a 5.000 dollari USA.* |
|---|---|
| Prodotti nell'ambito | I seguenti domini (inclusi i sottodomini) sono nell'ambito: *.synology.com I seguenti domini (inclusi i sottodomini) sono esclusi dall'ambito: openstack-ci-logs.synology.com, router.synology.com Synology si riserva il diritto di modificare questa lista in qualsiasi momento senza preavviso. |
| Regolamenti e restrizioni | Questo programma è strettamente limitato alle vulnerabilità di sicurezza riscontrate nei prodotti e servizi Synology. Azioni che potrebbero danneggiare o influenzare negativamente i server o i dati di Synology sono severamente vietate. I test di vulnerabilità non devono violare le leggi locali o taiwanesi. Le segnalazioni di vulnerabilità non sono accettate nel programma se descrivono o coinvolgono:
|
| Sistemi operativi | Servizi software e C2 cloud | Servizi web | |
|---|---|---|---|
| Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
| Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
| Sistemi operativi | Servizi software e C2 cloud | Servizi web | |
|---|---|---|---|
| 1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
| Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
| Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
| Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
| 1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
| pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
| 1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
| pre-auth stored XSS | $2,600 | $1,350 | $725 |
| Sistemi operativi | Servizi software e C2 cloud | Servizi web | |
|---|---|---|---|
| normal-user-auth stored XSS | $1,350 | $733 | $417 |
| normal-user-auth SQL injection | $1,200 | $607 | $353 |
| admin-auth vulnerabilities | $100 | $100 | $100 |
- A partire dal 1 ottobre 2024, le ricompense per le vulnerabilità admin-auth saranno fissate a $100 USD.
- Per i Client Desktop, se il vettore CVSS include uno dei seguenti, la ricompensa è fissata a $100 USD:
- AV:L
- AV:A
- AV:N/AC:H
Note:
- Si prega di notare che, sebbene siano fornite linee guida per le ricompense, ogni rapporto è trattato individualmente e valutato accuratamente. La valutazione considera vari fattori, inclusi ma non limitati all'ambito dettagliato nella rubrica delle ricompense. Synology si riserva il diritto di interpretazione finale degli importi delle ricompense.
- Per le questioni classificate come di bassa gravità o suggerimenti, verranno forniti solo riconoscimenti.
- David Oxley
- Abdelali Chekiel
- Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
- @sunscan@infosec.exchange