İşletim sistemleri
Kadar ödüller
US $30,000
Synology DiskStation Manager, Synology Router Manager ve Synology BeeStation içerir.
Yazılım ve C2 bulut hizmetleri
Kadar ödüller
US $10,000
Synology tarafından geliştirilen yazılım paketleri, ilgili mobil uygulamalar ve C2 bulut hizmetlerini içerir.
Web hizmetleri
Kadar ödüller
US $10,000
Tüm önemli Synology web hizmetlerini içerir.
- Bu güvenlik açığını rapor eden ilk araştırmacı sizsiniz
- Rapor edilen güvenlik açığı doğrulanabilir, tekrarlanabilir ve geçerli bir güvenlik sorunu olduğu onaylanmıştır
- Raporunuz, Ödül Programı'nın şartlarına ve yönetmeliklerine uygunluk gösterir
Ödül Programı iletişim formu kullanarak bize ulaşın.
Hata raporlarını Synology'ye gönderirken bilgilerinizi şifrelemek için bu PGP anahtarını kullanın.
Kapsamlı bir Kanıt Konsepti (PoC) ekleyin ve rapor edilen sorunların tekrar üretilebildiğinden emin olun.
Açıklamanızı öz ve net tutun. Örneğin, kısa bir kanıt-konsept bağlantısı, bir SSRF sorununun sonuçlarını açıklayan bir videoya göre daha değerlidir.
- Açıkça yazılmış adım adım açıklama içermelidir İngilizce güvenlik açığını nasıl tekrar üretebileceğinizi
- Synology ürünlerini veya web hizmetlerini nasıl etkilediğini göstermeli ve hangi sürümlerin ve platformların etkilendiğini açıklamalıdır
- Rapor edilen güvenlik açığının potansiyel zararını belirtmelidir
| Ödül | Uygun raporlar, US$30,000'a kadar ödül kazanmaya hak kazanır.* |
|---|---|
| Kapsam içindeki ürünler | Yalnızca resmi olarak yayınlanmış sürümler hakkında raporlar kabul edilir. DiskStation Manager (DSM)
Synology Router Manager (SRM)
Synology Kamera yazılımı
Synology BeeStation
|
| Düzenlemeler ve kısıtlamalar | Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıklarına sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zararlı etkileyebilecek eylemler kesinlikle yasaktır. Güvenlik açığı testi, yerel veya Tayvan yasalarını ihlal etmemelidir. Program kapsamında kabul edilmeyen güvenlik açığı raporları, açıklanmış veya içeren durumları şunları içerir:
|
**SRM_LAN'deki güvenlik açıkları için maksimum ödül $5,000.
***Kamera yazılımındaki güvenlik açıkları için maksimum ödül $10,000.
| Ödül | Uygun raporlar 10.000 ABD dolarına kadar ödül kazanabilir.* |
|---|---|
| Kapsam içindeki ürünler | Yalnızca resmi olarak yayınlanmış sürümler hakkında raporlar kabul edilir. Paketler Synology tarafından geliştirilen yazılım paketleri Masaüstü istemcileri Synology tarafından geliştirilen Windows, macOS ve Linux uygulamaları Mobil uygulamalar Synology tarafından geliştirilen Android ve iOS için mobil uygulamalar Synology Hesabı
C2 hizmetleri *.c2.synology.com alanları |
| Düzenlemeler ve kısıtlamalar | Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıkları ile sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zarar verebilecek eylemler kesinlikle yasaktır. Güvenlik açığı testleri yerel veya Tayvan yasalarını ihlal etmemelidir. Program kapsamında kabul edilmeyen güvenlik raporları, açıklanan veya içeren durumları şu şekilde tanımlar:
|
| Ödül | Uygun raporlar 5.000 ABD dolarına kadar ödül kazanabilir.* |
|---|---|
| Kapsam içindeki ürünler | Kapsam içinde olan alanlar (alt alanlar dahil): *.synology.com Aşağıdaki alan adları (alt alanlar dahil) kapsam dışındadır: openstack-ci-logs.synology.com, router.synology.com Synology bu listeyi önceden haber vermeden değiştirme hakkını saklı tutar. |
| Yönetmelikler ve kısıtlamalar | Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıklarına sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zararlı etkilerde bulunabilecek eylemler kesinlikle yasaktır. Güvenlik açığı testleri yerel veya Tayvan yasalarını ihlal etmemelidir. Program kapsamında kabul edilmeyen güvenlik açığı raporları aşağıdakileri açıklar veya içerir:
|
| İşletim sistemleri | Yazılım ve C2 bulut hizmetleri | Web hizmetleri | |
|---|---|---|---|
| Zero-click pre-auth RCE | $30,000 | $10,000 | $5,000 |
| Zero-click pre-auth arbitrary file r/w | $9,000 | $4,600 | $2,400 |
| İşletim sistemleri | Yazılım ve C2 bulut hizmetleri | Web hizmetleri | |
|---|---|---|---|
| 1-click pre-auth RCE | $8,000 | $4,000 | $2,000 |
| Zero-click normal-user-auth RCE | $7,500 | $3,900 | $1,900 |
| Zero-click normal-user-auth arbitrary file r/w | $6,500 | $3,400 | $1,700 |
| Zero-click pre-auth RCE (AC:H) | $6,500 | $3,400 | $1,700 |
| 1-click pre-auth RCE (AC:H) | $5,000 | $2,500 | $1,325 |
| pre-auth SQL injection | $3,800 | $1,950 | $1,025 |
| 1-click normal-user-auth RCE (AC:H) | $2,600 | $1,350 | $725 |
| pre-auth stored XSS | $2,600 | $1,350 | $725 |
| İşletim sistemleri | Yazılım ve C2 bulut hizmetleri | Web hizmetleri | |
|---|---|---|---|
| normal-user-auth stored XSS | $1,350 | $733 | $417 |
| normal-user-auth SQL injection | $1,200 | $607 | $353 |
| admin-auth vulnerabilities | $100 | $100 | $100 |
- 1 Ekim 2024'ten itibaren admin-auth güvenlik açığı ödülleri 100 $ USD olarak belirlenecektir.
- Masaüstü İstemciler için, CVSS vektörü aşağıdakilerden herhangi birini içeriyorsa, ödül 100 $ USD olarak belirlenir:
- AV:L
- AV:A
- AV:N/AC:H
Notlar:
- Ödüller için rehberlik sağlanmıştır, ancak her rapor bireysel olarak ele alınır ve kapsamlı bir şekilde değerlendirilir. Puanlama, ödül cetvelinde ayrıntılı olarak belirtilen kapsam dahil olmak üzere çeşitli faktörleri dikkate alır. Synology, ödül miktarlarının nihai yorum hakkını saklı tutar.
- Düşük ciddiyetli sorunlar veya öneriler için sadece onaylar verilecektir.
- David Oxley
- Abdelali Chekiel