Preskoči na vsebino

Varnost pri Omarchyju

Prijavite ranljivost

Če meniš, da si v Omarchyju našel varnostno ranljivost, jo prosimo zasebno prijavi ekipi Omarchy Security Team prek našega programa HackerOne, da jo lahko raziščemo in odpravimo, preden postane javna. Potrjene ranljivosti so upravičene do nagrad, izplačanih prek HackerOne.

hackerone.com/omarchy

Prosimo, potencialnih ranljivosti ne prijavljajte javno v GitHub Issues, Discordu ali družbenih omrežjih, preden niso odpravljene.

Kaj je ranljivost?

Hrošča štejemo za varnostno ranljivost, kadar ga je mogoče izkoristiti za prečkanje pomembne varnostne meje: nezaupanja vredna ali manj privilegirana stran pridobi dostop, dovoljenja ali nadzor, ki ju še ni imela.

Koda, ki bi lahko bila robustnejša, a ne prestopa varnostne meje, je izboljšava in ne varnostna ranljivost. Predlagani popravek lahko še vedno združimo in prijavitelja navedemo v opombah ob izdaji.

Upravičenost do naše strani z varnostnimi priznanji je odvisna od tega, ali prijava opredeli potrjeno varnostno ranljivost, ne od njene resnosti.

Kaj vključiti

Dajte nam dovolj informacij, da težavo razumemo in ponovimo:

  • Prizadeta komponenta in različica Omarchyja.
  • Razlaga, kaj lahko napadalec stori pred izkoriščanjem in po njem.
  • Koraki za ponovitev težave in morebiten dokaz koncepta.
  • Vaši najljubši kontaktni podatki za nadaljnjo komunikacijo.

Odgovorno razkrivanje

Pri raziskovanju in prijavljanju ranljivosti ravnajte v dobri veri:

  • Preizkušajte samo sisteme in račune, ki so vaši ali za katere imate izrecno dovoljenje.
  • Izogibajte se kršitvam zasebnosti, motnjam, uničevanju podatkov in poslabšanju storitev.
  • Ranljivosti ne izkoriščajte dlje, kot je potrebno za dokaz.
  • Dajte nam razumno priložnost, da težavo raziščemo in odpravimo, preden objavite podrobnosti.

Vašo prijavo bomo pregledali in vas obveščali, kolikor bomo lahko, medtem ko si prizadevamo za rešitev.

Priznanja

Raziskovalci, ki zasebno prijavijo potrjeno varnostno ranljivost in nam dajo priložnost izdati popravek, so navedeni na strani varnostnih priznanj. Sprejete izboljšave, ki ne prestopajo varnostne meje, so lahko še vedno navedene v naših opombah ob izdaji.

Priznanja povezujejo na X profil vsakega prijavitelja in prikazujejo njegov avatar. Pri podvojenih prijavah je do priznanja upravičen samo prvi prijavitelj.

Navadni hrošči in podpora

Za vse, kar ni varnostna ranljivost, uporabite sledilnik težav Omarchy.

Poročanje po e-pošti

Če nočeš ustvariti računa HackerOne, lahko poročilo pošlješ tudi po e-pošti na security@omarchy.org.