責任ある開示「キャッチアンドキル」への対処方法
同僚と私は、人気のサイバーセキュリティツールに重大なセキュリティの問題があることを発見しました。明らかになる理由から、ここでは名前を付けません。
バグクラウドのバグ報奨金プログラムを通じて、ツールのベンダーに問題を報告しました。彼らはそれをP2の問題としてランク付けし、2,000ドルを支払いました。
それは現在約6か月後のことであり、問題はまだ修正されていません。また、いつ修正されるかについてのタイムラインも提供されていません。彼らはまた、彼らのバグ報奨金プログラムの条件の下で、彼らがそれを修正するのにどれくらいの時間がかかっても、私たちは問題を公に開示することは許されないことを私たちに知らせました。更新：私はそれを報告してから2度フォローアップしました。問題はまだ修正されておらず、悪用されている可能性が高いようで、これは私が聞いたことです毎回。
この問題は難解ではなく、発見して再現することも困難ではありませんでした。このタイプのツールでは、このタイプの問題について多くの公開討論が行われています。これは、私たちが報告する前に彼らが問題を認識していたことを心配し、報告を「キャッチアンドキル」するために$ 2,000の報奨金を支払いました。
ハッカーがこの問題を悪用して人々のデータを危険にさらしているのではないかと心配しています。ツールのベンダーは、問題を開示または修正しないことでこれを続行できるようにしています。
ツールの既存のバージョンでも、問題の影響を最小限に抑えるために適用できる回避策があるため、修正をリリースする前であっても、情報を公開することで、ツールを使用する人々が自分自身を保護できるようになります。したがって、私はこの問題について自分の知識に座るのは、それを公に開示するのではなく、ますます不快になっています。
この時点で、私は2,000ドルの小切手を企業のメールアドレスに送り返して、報奨金を受け取り、それを押し出し、ツールの他のユーザーを保護するために問題を公開するように伝えます。これの問題は、2,000ドルを慈善団体に寄付したことです。つまり、問題を報告するときに計画していると彼らに伝えたので、彼らに送り返すお金がもうありません。
誰かに何かアドバイスはありますか？
CVEを割り当てるには、脆弱性を Mitre に報告するか、または Full Disclosure 。に報告する必要があります。
ベンダが報告したバグの修正を拒否した場合、それを公に開示するか、CVEを割り当てようとすることは倫理的に許容されます。これは、バグが実際に悪用されている可能性があると確信している場合は特に重要であり、脆弱性の知識によりエンドユーザーが簡単に緩和できる場合はさらに重要です。人々は通常、修正されていない脆弱性を報告する前に一定期間待機します。問題をベンダーに開示し、90日間待ってから公開するのが一般的です。
彼らはおそらくあなたをプログラムから追い出しますが、厄介な訴訟に従事せずにお金を取り戻すことはできません。実際、そのような会社は法的手段に訴えることなく簡単にお金を取り戻すことができないため、これらのゼロデイ販売会社（多くの場合、より高い価格を支払う非倫理的な会社）は一定期間にわたってゆっくりと支払いをします。違反を是正する法的システムに関与せずにバグを開示した場合、早期に支払いを終了できるようにします。
お金はあなたのものですが（契約がそうであると仮定して）、あなたは契約違反で訴えられ、あなたが稼いだ金額よりもさらに多くのお金を支払うことを強いられる可能性があることを覚えておくことが非常に重要です（法的費用と損害の両方）訴訟）。ほとんどの国で契約違反は犯罪ではありませんが、民法はまだ有効です。これがあなたにとって重要である場合、または訴訟を起こしている会社からの訴訟の危険を冒したくない場合は、実際の弁護士に相談し、見知らぬ人からインターネットで法的助言を受けないようにする必要があります。
ここでどのように選択したかわかりません。バグバウンティプログラムの条件に基づいてお金を受け取りました。すでにお金を渡したため、契約を取り消すことはできません。
彼らのバグ報奨金プログラムの条件の下で、彼らがそれを修正するのにどのくらい時間がかかっても、私たちは問題を公開することを許可されていません。
したがって、契約に違反せずにバグを開示することはできません。
契約に違反するかどうかは、これに投入する金額、時間、労力に大きく依存します。訴訟はすぐにストレスと費用がかかります。あなたが意図的に契約に違反したとすると、会社があなたに訴訟を起こす可能性はかなり高いです。
最良の選択肢は、ベンダーに再度連絡して、彼らと協力することです。彼らが正しい修正を実装するのを手伝ってください。連絡している人が役に立たないようであれば、会社の誰かに連絡することができます。