Sebezhetőség Nyilvánosságra Hozatali Program
A LiveAgent célja, hogy szolgáltatása biztonságos legyen mindenki számára, és az adatbiztonság a legfontosabb. Sebezhetőség Nyilvánosságra Hozatali Programunk célja, hogy minimalizálja az olyan biztonsági hibák hatását, amelyek eszközeinkre vagy felhasználóinkra vonatkoznak. A LiveAgent Sebezhetőség Nyilvánosságra Hozatali Programja olyan szoftvereket fed le, amelyeket a Quality Unit részben vagy elsősorban írt.
Ha Ön biztonsági kutató és biztonsági sebezhetőséget fedezett fel a Szolgáltatásban, nagyra értékeljük, hogy diszkréten közli azt velünk, és lehetőséget ad nekünk a javításra, mielőtt a technikai részleteket közzétennénk.
A LiveAgent kapcsolatba lép a biztonsági kutatókkal, amikor sebezhetőségeket jelentenek nekünk az itt leírtak szerint. Validáljuk, reagálunk és javítjuk a sebezhetőségeket a biztonság és az adatvédelem iránti elkötelezettségünk támogatásában. Nem indítunk jogi eljárást, nem függesztjük fel és nem szüntetjük meg a Szolgáltatáshoz való hozzáférést azok számára, akik felelősen fedeznek fel és jelentenek biztonsági sebezhetőségeket. A LiveAgent fenntartja az összes jogi jogát a nem megfelelőség esetén.
Bejelentés
Ossza meg a gyanított sebezhetőségek részleteit a LiveAgent Fejlesztési Csapattal a support@liveagent.com címen. Kérjük, ne hozza nyilvánosságra ezeket a részleteket ezen a folyamaton kívül kifejezett engedély nélkül.
A gyanított sebezhetőségek bejelentésekor kérjük, adjon meg annyi információt, amennyit csak lehetséges. Ha egyszerre több jelentést szeretne benyújtani, kérjük, csak egy jelentést nyújtson be (a legfontosabbat, ha lehetséges) és várjon választ.
Kompenzáció
Örömmel kínálunk díjat azokért a sebezhetőség-információkért, amelyek segítségével megvédhetjük ügyfeleinket, köszönetként azoknak a biztonsági kutatóknak, akik úgy döntenek, hogy részt vesznek hibajelentési programunkban. A szokásos díj 100 dollár sebezhetőségenként, amelyet fejlesztési csapatunk ellenőrzött.
Csak az első sebezhetőség-bejelentőt jutalmazzuk. Az ismétlődő jelentéseket nem jutalmazzuk.
Hatókör
Csak olyan LiveAgent-fiók ellen tesztelhet, amelynek Ön a Fiók Tulajdonosa vagy egy olyan Ügynök, akit a Fiók Tulajdonosa ilyen tesztelésre jogosított. Például:
- yourdomain.ladesk.com
Jutalmazott Sebezhetőség Típusok
A következő típusú sebezhetőségekért jutalmazunk:
- Távoli Parancsok Végrehajtása (RCE)
- SQL Injection
- Megtört Hitelesítés
- Megtört Munkamenet-kezelés
- Hozzáférés-vezérlés Megkerülése
- Webhelyek Közötti Parancsfájl-kezelés (XSS)
- Webhelyek Közötti Kérés Hamisítása (CSRF)
- Nyitott URL Átirányítás
- Könyvtár Bejárása
Megjegyzés: Azoknak az eseteknek a jelentéseit, amikor egy támadó csak a saját fiókját veszélyeztetheti csak Admin szerepkörrel, nem jutalmazunk díjjal. Az Admin által okozott XSS-t nem jutalmazunk díjjal.
A jogosultsághoz a sebezhetőségnek a szoftver legújabb nyilvános kiadásában (beleértve a hivatalosan kiadott nyilvános béta verziókat) kell lennie. Csak biztonsági sebezhetőségek jogosultak. Szeretnénk, ha az emberek más hibákat a megfelelő csatornákon keresztül jelentenék, de mivel ennek a programnak a célja a biztonsági sebezhetőségek javítása, csak azok a hibák jogosultak díjra, amelyek biztonsági sebezhetőségekhez vezetnek. Más hibákat belátásunk szerint fogadunk el.
Irányelvek
Kérjük, tartsa be a következő irányelveket, hogy jogosult legyen a díjra ezen a nyilvánosságra hozatali program keretében:
- Ne módosítsa véglegesen vagy törölje a LiveAgent által üzemeltetett adatokat.
- Ne férkőzzön hozzá szándékosan nem nyilvános LiveAgent-adatokhoz többet, mint amennyi szükséges a sebezhetőség bemutatásához.
- Ne végezzen DDoS-támadást vagy más módon ne zavarja, szakítsa meg vagy csökkentse belső vagy külső szolgáltatásainkat.
- Ne ossza meg a LiveAgent-tól kapott bizalmas információkat, beleértve, de nem kizárólagosan a tagok vagy adományozók fizetési információit, harmadik féllel.
- A szociális mérnöki módszerek kívül esnek a hatókörön. Ne küldjön adathalász e-maileket és ne használjon más szociális mérnöki technikákat senki ellen, beleértve a QualityUnit munkatársait, tagokat, szállítókat vagy partnereket.
Ezenkívül kérjük, hogy legalább 90 napot adjon nekünk a sebezhetőség javítására, mielőtt nyilvánosan megvitatná vagy blogot írna róla. Csapatunk úgy véli, hogy a biztonsági kutatóknak joga van kutatásaikat bejelenteni, és hogy a nyilvánosságra hozatal nagyon előnyös, és megérti, hogy ez egy nagyon szubjektív kérdés, hogy mikor és hogyan kell visszatartani a részleteket a sebezhetőség-információk visszaélésének kockázatának csökkentésére. Ha úgy gondolja, hogy korábbi nyilvánosságra hozatal szükséges, kérjük, tudassa velünk, hogy megkezdhessük a beszélgetést.
Változásnapló
Nyilvánosan tájékoztatunk az összes javított biztonsági problémáról a változásnaplónkon keresztül. A biztonsággal kapcsolatos problémákat a [Security] címke jelöli.
