ระบบปฏิบัติการ
รางวัลสูงสุดถึง
US $10,000
รวมถึง Synology DiskStation Manager, Synology Router Manager และ Synology BeeStation.
ซอฟต์แวร์และบริการคลาวด์ C2
รางวัลสูงสุดถึง
US $10,000
รวมถึงแพ็คเกจซอฟต์แวร์ที่พัฒนาโดย Synology, แอปมือถือที่เกี่ยวข้อง และบริการคลาวด์ C2.
Web บริการ
รางวัลสูงสุดถึง
US $10,000
รวมถึงบริการเว็บหลักทั้งหมดของ Synology.
- คุณเป็นนักวิจัยคนแรกที่รายงานช่องโหว่นี้
- ช่องโหว่ที่รายงานได้รับการยืนยันว่าสามารถตรวจสอบได้ ทำซ้ำได้ และเป็นปัญหาความปลอดภัยที่ถูกต้อง
- รายงานของคุณปฏิบัติตามข้อกำหนดและข้อบังคับของโปรแกรม Bounty
ติดต่อเราโดยใช้ แบบฟอร์มติดต่อโปรแกรมรางวัล
ใช้ คีย์ PGP นี้เพื่อเข้ารหัสข้อมูลของคุณเมื่อส่งรายงานข้อผิดพลาดไปยัง Synology
รวมหลักฐานที่ชัดเจน (PoC) และตรวจสอบให้แน่ใจว่าปัญหาที่รายงานสามารถทำซ้ำได้.
ให้คำอธิบายของคุณกระชับ ตัวอย่างเช่น ลิงก์หลักฐานที่ชัดเจนสั้น ๆ มีค่ามากกว่าวิดีโอที่อธิบายผลกระทบของปัญหา SSRF.
- มีคำอธิบายทีละขั้นตอนที่เขียนอย่างชัดเจน เป็นภาษาอังกฤษ เกี่ยวกับวิธีการทำซ้ำช่องโหว่
- แสดงให้เห็นว่าช่องโหว่มีผลกระทบต่อผลิตภัณฑ์หรือบริการเว็บของ Synology อย่างไร และอธิบายว่าเวอร์ชันและแพลตฟอร์มใดได้รับผลกระทบ
- ระบุความเสียหายที่อาจเกิดขึ้นจากช่องโหว่ที่รายงาน
รางวัล | รายงานที่ผ่านการรับรองจะมีสิทธิ์ได้รับรางวัลสูงสุด $30,000 ดอลลาร์สหรัฐ* |
---|---|
ผลิตภัณฑ์ภายในขอบเขต | รายงานเฉพาะเกี่ยวกับเวอร์ชันที่ออกอย่างเป็นทางการเท่านั้นที่ได้รับการยอมรับ DiskStation Manager (DSM)
Synology Router Manager (SRM)
เฟิร์มแวร์ Synology Camera
Synology BeeStation
|
ข้อบังคับและข้อจำกัด | โปรแกรมนี้จำกัดเฉพาะช่องโหว่ด้านความปลอดภัยที่พบในผลิตภัณฑ์และบริการของ Synology เท่านั้น การกระทำที่อาจทำให้เกิดความเสียหายหรือกระทบกระเทือนต่อเซิร์ฟเวอร์หรือข้อมูลของ Synology ถือเป็นการห้ามอย่างเด็ดขาด การทดสอบช่องโหว่ต้องไม่ละเมิดกฎหมายท้องถิ่นหรือของไต้หวัน รายงานช่องโหว่ไม่ได้รับการยอมรับภายใต้โปรแกรมหากอธิบายหรือเกี่ยวข้องกับ:
|
**รางวัลสูงสุดสำหรับช่องโหว่ใน SRM_LAN คือ 5,000 ดอลลาร์สหรัฐ
***รางวัลสูงสุดสำหรับช่องโหว่ในเฟิร์มแวร์ของกล้องคือ 10,000 ดอลลาร์สหรัฐ
รางวัล | รายงานที่ผ่านการรับรองจะมีสิทธิ์ได้รับรางวัลสูงสุด $10,000 ดอลลาร์สหรัฐ* |
---|---|
ผลิตภัณฑ์ภายในขอบเขต | รายงานเฉพาะเกี่ยวกับเวอร์ชันที่เปิดตัวอย่างเป็นทางการเท่านั้นที่ได้รับการยอมรับ แพ็คเกจ แพ็คเกจซอฟต์แวร์ที่พัฒนาโดย Synology ไคลเอนต์เดสก์ท็อป แอปพลิเคชัน Windows, macOS และ Linux ที่พัฒนาโดย Synology แอปพลิเคชันมือถือ แอปพลิเคชันมือถือที่พัฒนาโดย Synology สำหรับ Android และ iOS บัญชี Synology
บริการ C2 *.c2.synology.com domains |
ข้อบังคับและข้อจำกัด | โปรแกรมนี้จำกัดเฉพาะช่องโหว่ด้านความปลอดภัยที่พบในผลิตภัณฑ์และบริการของ Synology เท่านั้น การกระทำที่อาจทำให้เกิดความเสียหายหรือส่งผลเสียอย่างรุนแรงต่อเซิร์ฟเวอร์หรือข้อมูลของ Synology ถือเป็นการห้ามอย่างเคร่งครัด การทดสอบช่องโหว่ต้องไม่ละเมิดกฎหมายท้องถิ่นหรือของไต้หวัน รายงานช่องโหว่ไม่ได้รับการยอมรับภายใต้โปรแกรมหากมีการอธิบายหรือเกี่ยวข้องกับ:
|
รางวัล | รายงานที่ผ่านการรับรองจะมีสิทธิ์ได้รับรางวัลสูงสุด $5,000 ดอลลาร์สหรัฐ* |
---|---|
ผลิตภัณฑ์ภายในขอบเขต | โดเมนต่อไปนี้ (รวมถึงโดเมนย่อย) อยู่ในขอบเขต: *.synology.com โดเมนต่อไปนี้ (รวมถึงโดเมนย่อย) อยู่นอกขอบเขต: openstack-ci-logs.synology.com, router.synology.com Synology สงวนสิทธิ์ในการแก้ไขรายการนี้ได้ทุกเมื่อโดยไม่ต้องแจ้งให้ทราบล่วงหน้า |
ข้อบังคับและข้อจำกัด | โปรแกรมนี้จำกัดเฉพาะช่องโหว่ด้านความปลอดภัยที่พบในผลิตภัณฑ์และบริการของ Synology เท่านั้น การกระทำที่อาจทำให้เกิดความเสียหายหรือส่งผลเสียอย่างรุนแรงต่อเซิร์ฟเวอร์หรือข้อมูลของ Synology ถือเป็นการห้ามอย่างเคร่งครัด การทดสอบช่องโหว่ต้องไม่ละเมิดกฎหมายท้องถิ่นหรือของไต้หวัน รายงานความเสี่ยงจะไม่ได้รับการยอมรับภายใต้โปรแกรมหากมีการอธิบายหรือเกี่ยวข้องกับ:
|
ระบบปฏิบัติการ | บริการซอฟต์แวร์และ C2 cloud | Web บริการ | |
---|---|---|---|
Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
ระบบปฏิบัติการ | บริการซอฟต์แวร์และ C2 cloud | Web บริการ | |
---|---|---|---|
1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
pre-auth stored XSS | $2,600 | $1,350 | $725 |
ระบบปฏิบัติการ | บริการซอฟต์แวร์และ C2 cloud | Web บริการ | |
---|---|---|---|
normal-user-auth stored XSS | $1,350 | $733 | $417 |
normal-user-auth SQL injection | $1,200 | $607 | $353 |
admin-auth vulnerabilities | $100 | $100 | $100 |
- ตั้งแต่วันที่ 1 ตุลาคม 2024 รางวัลการตรวจสอบช่องโหว่ของผู้ดูแลระบบจะอยู่ที่ 100 ดอลลาร์สหรัฐ
- สำหรับไคลเอนต์เดสก์ท็อป หากเวกเตอร์ CVSS พบข้อใดต่อไปนี้ รางวัลจะเป็น 100 ดอลลาร์สหรัฐ:
- AV:L
- AV:A
- AV:N/AC:H
หมายเหตุ:
- โปรดทราบว่าแม้จะมีการให้แนวทางสำหรับรางวัล แต่ละรายงานจะได้รับการพิจารณาเป็นรายบุคคลและประเมินอย่างละเอียด การให้คะแนนพิจารณาปัจจัยต่างๆ รวมถึงแต่ไม่จำกัดเพียงขอบเขตที่ระบุไว้ในเกณฑ์การให้รางวัล Synology ขอสงวนสิทธิ์ในการตีความจำนวนเงินรางวัลสุดท้าย
- สำหรับปัญหาที่ถูกจัดว่ามีความร้ายแรงต่ำหรือเป็นคำแนะนำ จะรับทราบไว้เท่านั้น
- David Oxley
- Abdelali Chekiel
- Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
- @sunscan@infosec.exchange