Segnalazione delle vulnerabilità della sicurezza informatica dei prodotti - Ambito e regole di coinvolgimento

Regole di ingaggio
  • Nessun test di negazione del servizio
  • Nessuna ingegneria fisica o sociale
  • Nessun test dei servizi di terze parti
  • Nessun caricamento di vulnerabilità o contenuti relativi ai clienti su utilità di terze parti (ad esempio GitHub, Drobox, YouTube)
  • Tutti i dati relativi al payload degli attacchi devono utilizzare un linguaggio professionale.
  • Se riesci ad accedere a un sistema, agli account, agli utenti o ai dati degli utenti, fermati al punto di riconoscimento e segnalazione. Non immergetevi più a fondo per determinare quanto altro è accessibile.
  • Quando documentate una vulnerabilità, se una vulnerabilità è pubblica, assicuratevi che sia discreta e non identifichi il cliente.
Vulnerabilità a basso impatto: fuori dall'ambito

Le seguenti vulnerabilità sono considerate a basso impatto e non rientrano nell'ambito di applicazione:

  • Chiavi API di Google Maps
  • Enumerazione di account/e-mail mediante attacchi di forza bruta.
  • L'enumerazione dell'account utente/della posta elettronica che non richiede la forza bruta verrà considerata nell'ambito di applicazione.
  • Eventuali problemi a basso impatto relativi alla gestione delle sessioni (ad esempio, sessioni simultanee, scadenza della sessione, reimpostazione/modifica della password, disconnessione, ecc.)
  • Bypassare le restrizioni nel caricamento di un file senza dimostrare che il file è stato ricevuto.
  • Correzione Clickjacking/interfaccia utente
  • Password/credenziali salvate o completate automaticamente dall'applicazione/dal browser sul lato client
  • Pagine di errore descrittive o dettagliate senza prove di sfruttamento o acquisizione di informazioni sensibili.
  • Enumerazione della struttura delle directory (a meno che il fatto non riveli informazioni eccezionalmente utili)
  • Record SPF/DMARC/DKIM incompleti o mancanti
  • Problemi relativi alla sicurezza delle password/credenziali, alla lunghezza, ai blocchi o alla mancanza di protezioni contro la forza bruta e la limitazione della velocità.
  • Le compromissioni degli account (in particolare degli amministratori) dovute a questi problemi saranno probabilmente considerate rientranti nell'ambito di applicazione.
  • Mancanza di contenuti SSL o misti
  • La fuga di cookie di sessione, le credenziali utente o altri dati sensibili verranno esaminati caso per caso.
  • Se la fuga di dati sensibili richiede il posizionamento di MitM per essere sfruttata, verrà considerata fuori dall'ambito di applicazione.
  • Accedi/logout/CSRF non autenticato/a basso impatto
  • Le vulnerabilità CSRF possono essere accettabili se hanno un impatto maggiore. Esempi di CSRF a basso impatto includono: Aggiungi/Elimina dal carrello, Aggiungi/rimuovi lista dei desideri /preferiti, opzioni di preferenza non severe, ecc.
  • Divulgazioni di informazioni a basso impatto (inclusa la divulgazione della versione)
  • Bandiere dei cookie mancanti
  • Intestazioni/metodi HTTP mancanti/abilitati che non portano direttamente a una vulnerabilità di sicurezza.
  • Attacchi riflessi al download di file (RFD)
  • Autosfruttamento (ad esempio, link per la reimpostazione della password o riutilizzo dei cookie)
  • Best practice SSL/TLS che non contengono un proof-of-concept completamente funzionale.
  • Reindirizzamento URL/Open
  • L'uso di una libreria vulnerabile nota che porta a una vulnerabilità a basso impatto (ad esempio, la versione obsoleta di jQuery porta a un XSS a basso impatto)
  • Bug validi o problemi relativi alle best practice che non sono direttamente correlati allo stato di sicurezza del client.
  • Vulnerabilità che interessano gli utenti di browser, plugin o piattaforme obsoleti.
  • Vulnerabilità che consentono l'inserimento di testo arbitrario senza consentire l'inserimento di collegamenti ipertestuali, codice HTML o JavaScript.
  • Vulnerabilità che richiedono all'utente/vittima di eseguire azioni estremamente improbabili (ad esempio, self-XSS)
  • Verrà preso in considerazione il self-XSS per un XSS persistente/memorizzato. Per ulteriori informazioni, consulta l'articolo Self-XSS.
  • Qualsiasi tipo di XSS che richieda alla vittima di premere una combinazione di tasti improbabile NON rientra nell'ambito di applicazione (ad esempio, alt+shift+x per l'esecuzione del payload)

Altri tipi di vulnerabilità specifici considerati fuori dall'ambito a causa del basso impatto:

  • Divulgazione di file e directory IIS Tilde
  • Enumerazione del nome utente SSH
  • Enumerazione del nome utente di WordPress
  • Cifrature deboli SSL/POODLE/Heartbleed
  • Iniezione CSV
  • Informazioni su PHP
  • Stato del server se non rivela informazioni sensibili.
  • Divulgazioni di informazioni su Snoop