Besturingssystemen
Beloningen tot
30000
Bevat Synology DiskStation Manager, Synology Router Manager, en Synology BeeStation.
Software en C2 cloud diensten
Beloningen tot
10000
Bevat door Synology ontwikkelde softwarepakketten, gerelateerde mobiele apps, en C2 cloud diensten.
Web diensten
Beloningen tot
5000
Bevat alle belangrijke Synology webdiensten.
- U bent de eerste onderzoeker die deze kwetsbaarheid meldt
- De gemelde kwetsbaarheid is bevestigd als verifieerbaar, reproduceerbaar en een geldig beveiligingsprobleem
- Uw rapport voldoet aan de voorwaarden en regelgeving van het Bounty Programma
Neem contact met ons op via het contactformulier van het Bountyprogramma.
Gebruik deze PGP-sleutel om uw informatie te versleutelen wanneer u bugrapporten naar Synology verzendt.
Voeg een gedetailleerd bewijs van concept (PoC) toe en zorg ervoor dat de gemelde problemen kunnen worden gereproduceerd.
Houd uw beschrijving bondig. Bijvoorbeeld, een korte proof-of-concept link wordt hoger gewaardeerd dan een video die de gevolgen van een SSRF-probleem uitlegt.
- Bevat een duidelijk geschreven stap-voor-stap beschrijving in het Engels van hoe de kwetsbaarheid te reproduceren
- Demonstreer hoe de kwetsbaarheid Synology-producten of webservices beïnvloedt, en beschrijf welke versies en platforms zijn getroffen
- Geef de potentiële schade aan die door de gerapporteerde kwetsbaarheid wordt veroorzaakt
| Beloning | Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$30,000.* |
|---|---|
| Producten binnen de scope | Alleen rapporten over officieel uitgebrachte versies worden geaccepteerd. DiskStation Manager (DSM)
Synology Router Manager (SRM)
Synology Camera firmware
Synology BeeStation
|
| Regelgeving en beperkingen | Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade kunnen toebrengen aan of nadelig kunnen zijn voor Synology-servers of -gegevens zijn strikt verboden. Het testen van kwetsbaarheden mag niet in strijd zijn met lokale of Taiwanese wetten. Kwetsbaarheidsrapporten worden niet geaccepteerd onder het programma als ze beschrijven of betrekken:
|
**De maximale beloning voor kwetsbaarheden in SRM_LAN is $5.000.
***De maximale beloning voor kwetsbaarheden in camera-firmware is $10.000.
| Beloning | Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$10.000.* |
|---|---|
| Producten binnen de scope | Alleen rapporten over officieel uitgebrachte versies worden geaccepteerd. Pakketten Door Synology ontwikkelde softwarepakketten Desktopclients Door Synology ontwikkelde Windows, macOS en Linux applicaties Mobiele apps Door Synology ontwikkelde mobiele apps voor Android en iOS Synology Account
C2-diensten *.c2.synology.com domeinen |
| Regelgeving en beperkingen | Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade of nadelige gevolgen kunnen hebben voor Synology-servers of -gegevens zijn strikt verboden. Kwetsbaarheidstests mogen de lokale of Taiwanese wetten niet schenden. Kwetsbaarheidsrapporten worden niet geaccepteerd onder het programma als ze beschrijven of betrekken:
|
| Beloning | Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$5.000.* |
|---|---|
| Producten binnen de reikwijdte | De volgende domeinen (inclusief subdomeinen) vallen binnen de scope: *.synology.com De volgende domeinen (inclusief subdomeinen) vallen buiten de reikwijdte: openstack-ci-logs.synology.com, router.synology.com Synology behoudt zich het recht voor om deze lijst op elk moment zonder kennisgeving te wijzigen. |
| Regelgeving en beperkingen | Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade kunnen toebrengen aan of nadelig kunnen zijn voor Synology-servers of -gegevens zijn strikt verboden. Kwetsbaarheidstests mogen de lokale of Taiwanese wetten niet schenden. Kwetsbaarheidsrapporten worden niet geaccepteerd binnen het programma als ze beschrijven of betrekken:
|
| Besturingssystemen | Software en C2 cloud diensten | Web diensten | |
|---|---|---|---|
| Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
| Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
| Besturingssystemen | Software en C2 cloud diensten | Web diensten | |
|---|---|---|---|
| 1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
| Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
| Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
| Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
| 1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
| pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
| 1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
| pre-auth stored XSS | $2,600 | $1,350 | $725 |
| Besturingssystemen | Software en C2 cloud diensten | Web diensten | |
|---|---|---|---|
| normal-user-auth stored XSS | $1,350 | $733 | $417 |
| normal-user-auth SQL injection | $1,200 | $607 | $353 |
| admin-auth vulnerabilities | $100 | $100 | $100 |
- Vanaf 1 oktober 2024 worden de beloningen voor admin-auth kwetsbaarheden vastgesteld op $100 USD.
- Voor Desktop Clients, als de CVSS-vector een van de volgende bevat, wordt de beloning vastgesteld op $100 USD:
- AV:L
- AV:A
- AV:N/AC:H
Opmerkingen:
- Let op dat hoewel richtlijnen voor beloningen worden gegeven, elk rapport individueel en grondig wordt geëvalueerd. De beoordeling houdt rekening met verschillende factoren, waaronder maar niet beperkt tot de reikwijdte gedetailleerd in de beloningsrubriek. Synology behoudt zich het recht voor om de uiteindelijke interpretatie van de beloningsbedragen te maken.
- Voor kwesties die als lage prioriteit of suggesties worden geclassificeerd, zullen alleen bevestigingen worden verstrekt.
- David Oxley
- Abdelali Chekiel
- Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
- @sunscan@infosec.exchange