製品サイバーセキュリティ脆弱性報告-契約範囲とルール

エンゲージメントのルール

• サービス拒否テストなし
• フィジカルエンジニアリングやソーシャルエンジニアリングは不要
• サードパーティーサービスのテストなし
• 脆弱性やクライアント関連のコンテンツをサードパーティのユーティリティ (GitHub、Dropbox、YouTube など) にアップロードしないでください
• すべての攻撃ペイロードデータには、専門用語を使用する必要があります。
• システム、アカウント、ユーザー、またはユーザーデータにアクセスできる場合は、認識された時点で停止して報告してください。さらに深く掘り下げて、どれだけアクセスできるかを判断しないでください。
• 脆弱性を文書化する際、脆弱性が公開されている場合は、その脆弱性が目立たず、クライアントを特定できないようにしてください。

影響の少ない脆弱性 — 対象外

影響が小さいと見なされる以下の脆弱性は対象外とみなされます。

• Google マップ API キー
• ブルートフォース攻撃によるアカウント/電子メールの列挙。
• ブルートフォースを必要としないユーザーアカウント/電子メールの列挙は対象範囲内とみなされます。
• セッション管理に関連する影響の少ない問題 (同時セッション、セッションの有効期限、パスワードのリセット/変更ログアウトなど)
• ファイルが受信されたことを証明せずにファイルをアップロードする際の制限を回避する。
• クリックジャッキング/UI 修正
• クライアント側のアプリケーション/ブラウザーのオートコンプリートまたは保存されたパスワード/認証情報
• 悪用や機密情報の入手の証拠がない、説明的または詳細なエラーページ。
• ディレクトリ構造の列挙 (事実によって非常に有用な情報が明らかになった場合を除く)
• SPF/DMARC/DKIM レコードが不完全または欠落している
• パスワード/認証情報の強度、長さ、ロックアウト、またはブルートフォース/レート制限保護の欠如に関連する問題。
• これらの問題が原因で発生したアカウント (特に管理者) への不正アクセスは、対象範囲内と見なされる可能性が高いです。
• SSL の欠如または混合コンテンツの不足
• セッションクッキー、ユーザー認証情報、またはその他の機密データの漏洩は、ケースバイケースで確認されます。
• 機密データの漏洩によってMitMポジショニングの悪用が必要になった場合、対象外とみなされます。
• ログイン/ログアウト/未認証/影響の少ない CSRF
• CSRF の脆弱性は、影響が大きい場合は許容できる可能性があります。影響の少ないCSRFの例としては、カートに追加/削除、ほしい物リスト/お気に入りの追加/削除、重大ではない設定オプションなどがあります。
• 影響の少ない情報開示 (バージョン開示を含む)
• クッキーフラグがない
• セキュリティの脆弱性を直接引き起こさない HTTP ヘッダー/メソッドがない、または有効になっている。
• リフレクション型ファイルダウンロード攻撃 (RFD)
• 自己悪用 (パスワードリセットリンクや Cookie の再利用など)
• 完全に機能する概念実証が含まれていない SSL/TLS のベストプラクティス。
• URL/オープンリダイレクト
• 影響の少ない脆弱性につながる、既知の脆弱性ライブラリを使用する (つまり、jQuery のバージョンが古いと、影響の少ない XSS になる)
• クライアントのセキュリティ体制とは直接関係のない有効なバグまたはベストプラクティスの問題。
• 古いブラウザ、プラグイン、またはプラットフォームのユーザーに影響を及ぼす脆弱性。
• ハイパーリンク、HTML、JavaScript コードを挿入せずに任意のテキストを挿入できる脆弱性。
• ユーザー/被害者が極めてありそうもないアクション (Self-XSS など) を実行する必要がある脆弱性
• 永続型/保存型 XSS のセルフ XSS が考慮されます。詳細については、Self-XSS の記事を参照してください。
• 被害者がありそうもないキーの組み合わせを押す必要があるような種類の XSS は対象外です (ペイロード実行の場合は alt+shift+x など)

影響が小さいため対象外と見なされるその他の特定の脆弱性タイプ:

• IIS チルダファイルとディレクトリの開示
• SSH ユーザー名の列挙
• ワードプレスユーザー名の列挙
• SSL 弱暗号/プードル/ハートブリード
• CSV インジェクション
• PHP 情報
• 機密情報が明らかにならない場合はサーバーステータス。
• スヌープ情報の開示