Drošība Omarchy
Ziņot par ievainojamību
Ja domā, ka esi atradis drošības ievainojamību Omarchy, lūdzu, ziņo par to privāti Omarchy drošības komandai caur mūsu HackerOne programmu, lai mēs varētu to izpētīt un salabot, pirms tā nonāk publiski. Par apstiprinātām ievainojamībām pienākas atlīdzības, kas tiek izmaksātas caur HackerOne.
hackerone.com/omarchyLūdzu, neziņo par iespējamām ievainojamībām publiski GitHub Issues, Discord vai sociālajos medijos, pirms tās ir novērstas.
Kas ir ievainojamība?
Par drošības ievainojamību kļūdu uzskatām tad, kad to var ekspluatēt, lai pārkāptu jēgpilnu drošības robežu: neuzticama vai mazāk privileģēta puse iegūst piekļuvi, atļaujas vai kontroli, kādas tai vēl nebija.
Kods, kas varētu būt izturīgāks, bet nepārkāpj drošības robežu, ir uzlabojums, nevis drošības ievainojamība. Mēs joprojām varam apvienot piedāvāto labojumu un pateikties ziņotājam laidiena piezīmēs.
Tiesības uz mūsu pateicību par drošību lapu ir atkarīgas no tā, vai ziņojums identificē apstiprinātu drošības ievainojamību, nevis no tās smaguma.
Ko iekļaut
Sniedz mums pietiekami daudz informācijas, lai problēmu saprastu un reproducētu:
- Skartā komponente un Omarchy versija.
- Paskaidrojums, ko uzbrucējs var darīt pirms un pēc ekspluatācijas.
- Soļi problēmas reproducēšanai un jebkāds koncepcijas pierādījums.
- Tavi vēlamie kontaktdati atbildes saziņai.
Atbildīga atklāšana
Lūdzu, rīkojies godprātīgi, pētot un ziņojot par ievainojamībām:
- Testē tikai sistēmas un kontus, kas tev pieder vai kuru testēšanai tev ir nepārprotama atļauja.
- Izvairies no privātuma pārkāpumiem, traucējumiem, datu iznīcināšanas un pakalpojumu pasliktināšanas.
- Neekspluatē ievainojamību vairāk, nekā nepieciešams, lai to demonstrētu.
- Dod mums saprātīgu iespēju izpētīt un novērst problēmu, pirms publicē detaļas.
Mēs izskatīsim tavu ziņojumu un informēsim tevi, cik spēsim, kamēr strādāsim pie risinājuma.
Pateicības
Pētnieki, kas privāti ziņo par apstiprinātu drošības ievainojamību un dod mums iespēju piegādāt labojumu, tiek pagodināti pateicību par drošību lapā. Pieņemti uzlabojumi, kas nepārkāpj drošības robežu, joprojām var tikt atzīti mūsu laidiena piezīmēs.
Pateicībās ir saite uz katra ziņotāja X profilu un redzams viņa iemiesojums. Dublikātu ziņojumiem pateicība pienākas tikai pirmajam ziņotājam.
Parastas kļūdas un atbalsts
Visam, kas nav drošības ievainojamība, lūdzu, izmanto Omarchy problēmu sekotāju.
Ziņošana pa e-pastu
Ja nevēlies veidot HackerOne kontu, vari arī nosūtīt ziņojumu uz security@omarchy.org.