[Belangrijke Beveiliging Mededeling] Nep-Qfinder Pro-websites gedetecteerd. Meer informatie >
Search

Security Bounty-programma

QNAP zet zich in voor cyberbeveiliging en werkt samen met partners en de beveiligings­gemeenschap om de veiligheid van QNAP-producten te waarborgen, zodat gebruikers meer gemoedsrust hebben en product­systemen en gegevens worden beschermd. Om onderzoekers te bedanken die potentiële beveiligingsproblemen ontdekken en bijdragen aan het verbeteren van de klantbeveiliging, biedt QNAP beloningen via het Security Bounty-programma.

Erkenningen

Omvang van het programma

Het Bounty-programma accepteert alleen meldingen van beveiligingslekken met betrekking tot QNAP-producten en online diensten. Elke beveiligingsmelding buiten de reikwijdte van dit programma wordt niet geaccepteerd en komt niet in aanmerking voor een beloning. Dit programma accepteert of beloont geen beveiligingslekken gevonden in software van derden (bijv. QPKG's van derden). Als u een beveiligingsprobleem in dergelijke software ontdekt, neem dan direct contact op met de betreffende leverancier of ontwikkelaar. Voor andere beveiligingsproblemen die buiten de beloningsscope van dit programma vallen, maar wel betrekking hebben op QNAP-producten of -diensten, raadpleeg de Beleid voor gecoördineerde openbaarmaking van kwetsbaarheden voor informatie over hoe u deze kunt melden.

  • Besturingssystemen

    Beloning tot US$20.000

    Door QNAP ontwikkelde besturingssystemen — QTS, QuTS hero en QuTScloud — vallen allemaal onder dit programma.

  • Toepassingen

    Beloning tot US$10.000

    Toepassingen die officieel door QNAP zijn ontwikkeld.

  • Cloudservices

    Beloning tot US$5.000

    Cloudservices die officieel door QNAP worden geleverd.

Hoe meldt u beveiligingsproblemen en kwetsbaarheden?

Versleutel uw e-mail met de PGP-publieke sleutel hieronder en stuur deze naar security@qnap.com. QNAP PSIRT zal proactief contact opnemen met de onderzoeker om de indiening te bevestigen.

Aanbevolen indeling voor kwetsbaarheidrapport

  • Besturingssystemen

  • Toepassingen

  • Cloudservices

PGP-coderingssleutel

Een kwetsbaarheid melden

Geschiktheidscriteria

  • U moet de eerste onderzoeker zijn die de kwetsbaarheid meldt.

  • U heeft de kwetsbaarheid niet openbaar gemaakt.

  • De kwetsbaarheid die u meldt is door QNAP-medewerkers bevestigd als verifieerbaar, reproduceerbaar en in aanmerking komend voor een beloning.

  • U stemt volledig in met en voldoet aan de Regels van het Bounty-programma.

  • Als u tijdens uw onderzoek niet-openbare gegevens van QNAP of haar gebruikers hebt benaderd, hebt u deze gegevens verwijderd volgens de Testgedrag en regels voor gegevensverwerking en binnen de vereiste periode een schriftelijke verwijderverklaring verstrekt.

Beloningsbedragen kunnen worden aangepast afhankelijk van het volgende:

Bonusfactoren

  • Volg het aanbevolen format voor het kwetsbaarheidrapport: Geef noodzakelijke en voldoende informatie over de kwetsbaarheid. Aanbevolen formats: Voorbeeld van indeling besturingssysteem, Voorbeeld van indeling applicatie, Voorbeeld van indeling cloudservice.

  • Reproductiestappen: Duidelijke en gedetailleerde stappen om te reproduceren.

  • Probleembeschrijving: Een goed georganiseerd kwetsbaarheidrapport met duidelijk gestructureerde paragrafen.

  • Aanvullende informatie: Items aanbevolen in de voorbeelden van het kwetsbaarheid­rapport­format, of andere nuttige informatie zoals testcode, scripts of andere gedetailleerde uitleg.

  • Geef de volledige ruwe exploit-payload in tekstvorm: Als de payload alleen als afbeelding wordt aangeleverd, kan het QNAP PSIRT-team niet garanderen dat deze correct gereproduceerd kan worden. Als een geldige aanval niet gereproduceerd kan worden, kan de kwetsbaarheids­beoordeling ongeldig worden verklaard.

Aanpassingsfactoren

  • Probleemernst en beoordelingsvolgorde: QNAP PSIRT geeft prioriteit aan verificatie en herstel op basis van de ernst van het probleem, met voorrang voor problemen met een significante impact op gebruikersdata en systemen. De ernst wordt bepaald door de Bounty Committee met verwijzing naar de CVSS v3.1-score, gecombineerd met exploitbaarheid in de praktijk en de omvang van de impact. Problemen met een lage ernst worden pas beoordeeld na problemen met een hoge ernst. Alle bevestigde problemen die producten betreffen die nog binnen hun supportperiode vallen, worden ongeacht de ernst opgenomen in het herstelplan van QNAP.

  • Beloningsbedrag per ernst: Beloningen worden toegekend volgens de ernstcategorie die aan het probleem is toegewezen. Beloningen voor problemen met een lage ernst worden dienovereenkomstig aangepast en zijn lager dan die voor problemen met een hoge ernst binnen dezelfde scope. Het gepubliceerde bedrag per scope is het maximum voor die scope, niet een gegarandeerd bedrag per geval.

  • Als een probleem als lage ernst wordt beoordeeld en slechts een beveiligings­verbeterings­suggestie betreft die geen daadwerkelijke schade veroorzaakt (bijvoorbeeld configuratie-aanbevelingen, openbaarmaking van versie- of padinformatie, best-practice herinneringen), en verificatie niet kan aantonen dat het daadwerkelijk kan worden misbruikt om schade te veroorzaken, wordt er geen beloning toegekend. Het wordt echter wel beschouwd als een geldig probleem en u wordt alsnog opgenomen in onze publieke erkenning. Dit verschilt van "niet in aanmerking voor een beloning" (niet geaccepteerd en niet erkend); het belangrijkste verschil is of verifieerbare daadwerkelijke uitvoeringsresultaten worden geleverd. Voor specifieke gevallen die niet in aanmerking komen voor een beloning, zie de "Opmerkingen" per scope.

  • Dubbele en gelijksoortige problemen: Als meerdere rapporten worden bevestigd als afkomstig van dezelfde oorzaak of hetzelfde codepad, of kunnen worden opgelost met dezelfde fix, kan QNAP PSIRT ze als één geval beoordelen. De beloning voor een samengevoegd geval is beperkt tot één bedrag voor de categorie waartoe het geval behoort en wordt niet opgeteld per aantal rapporten; de beloning gaat naar het eerste complete rapport dat is ontvangen.

  • Latere rapporten van hetzelfde probleemtype: Latere rapporten van een probleemtype dat QNAP al heeft geaccepteerd of opgelost (inclusief problemen van hetzelfde type in verschillende interfaces, parameters of modules) kunnen worden behandeld als varianten van het bestaande geval. Dergelijke rapporten worden nog steeds individueel erkend als geldige problemen en krijgen afzonderlijk CVE-ID's toegewezen, terwijl beloningen worden toegekend voor de probleemklasse als geheel: de 1e tot en met de 10e rapporten in dezelfde probleemklasse ontvangen het volledige bedrag voor hun categorie; vanaf het 11e rapport wordt 10% van het categoriebedrag toegekend. De telling is cumulatief over alle rapporteurs, zonder aparte telperiode. De "zelfde probleemklasse" wordt bepaald door dezelfde CWE-classificatie samen met hetzelfde functionele component of hetzelfde codepatroon. QNAP PSIRT zal u informeren over de variantbepaling en het huidige cumulatieve volgnummer voor die probleemklasse in de bevestigingsmail van de kwetsbaarheid. Als u het hier niet mee eens bent, kunt u binnen 14 kalenderdagen na ontvangst van de mail schriftelijk reageren.

  • Rapportvolledigheid en reproduceerbaarheid: Voor rapporten waarbij de rapporteur het probleem niet zelfstandig opnieuw heeft geverifieerd, of alleen ruwe tooloutput heeft aangeleverd zonder de daadwerkelijke impact en hoe te reproduceren uit te leggen, kan QNAP PSIRT de rapporteur vragen om aanvullende informatie te verstrekken. Totdat deze aanvullende informatie is aangeleverd, wordt het geval pas beoordeeld na gevallen met volledige informatie.

  • Daadwerkelijke beveiligingsimpact: Beloningen worden dienovereenkomstig aangepast voor problemen die puur theoretisch zijn, zeer ongebruikelijke voorwaarden vereisen, of niet aantoonbaar een wezenlijke impact hebben op gebruikersdata en systemen.

Dankbetuigingen

Dank aan alle onderzoekers voor hun expertise en toewijding.

Veelgestelde vragen

Het beloningsmechanisme en het bountybedrag worden bepaald door het Bounty Review Team, bestaande uit QNAP PSIRT-leden, waarbij rekening wordt gehouden met de volgende factoren: de complexiteit van het succesvol benutten van de kwetsbaarheid en de dreiging die de kwetsbaarheid vormt, inclusief het percentage getroffen gebruikers en systemen.

Ja. Als een video het gemakkelijker maakt om te begrijpen hoe de kwetsbaarheid wordt misbruikt, kan het Bounty Committee de beloning dienovereenkomstig verhogen. Houd er rekening mee dat schriftelijke documentatie vereist is (bijvoorbeeld een PoC-document en een volledige uitleg), omdat dit helpt bij het beheren van het proces voor het openbaar maken van kwetsbaarheden.

Een kwetsbaarheidrapport moet minimaal het volgende bevatten: de naam van het getroffen product en de versie en build-nummer, of de URL van de cloudservice; een samenvatting van de potentiële dreiging van de kwetsbaarheid; en gedetailleerde, duidelijke stappen om het probleem te reproduceren, eventueel aangevuld met een video om de kwetsbaarheid te demonstreren.

Versleutel uw rapport met de door QNAP verstrekte openbare PGP-sleutel en stuur het naar security@qnap.com. Zodra de e-mail is ontvangen, zal het systeem automatisch antwoorden met een technisch ticketnummer, waarmee de onderzoeker de voortgang van de beoordeling kan volgen.

Het QNAP PSIRT-team zal proactief contact opnemen met de onderzoeker om te bevestigen of de inzending compleet is. In gevallen waarbij de informatie volledig is en de eerste beoordeling als ernstig wordt ingeschat, ontvangt de onderzoeker in principe binnen een week na bevestiging van de volledigheid een QNAP PSIRT-bevestigingsmail over de kwetsbaarheid, inclusief het aan het rapport toegekende CVE-ID.

Een bountyvoorstel wordt vier weken na het versturen van de bevestigingsmail over de kwetsbaarheid per e-mail verzonden. Als de onderzoeker het voorstel accepteert, verwacht QNAP de betaling binnen twaalf weken na ontvangst van de bevestigingsreactie af te ronden.

Tijdens de verificatie analyseert QNAP PSIRT de onderliggende oorzaak van elk geval. Als meerdere rapporten blijken voort te komen uit dezelfde oorzaak, hetzelfde codepad of hetzelfde ontwerppatroon, worden ze als één geval behandeld en gaat de beloning naar het eerste volledige rapport dat is ontvangen; als een later rapport aanvullende informatie over de beveiligingsimpact bevat, nemen we dit alsnog mee. Voor problemen van hetzelfde type die elk een aparte oplossing vereisen, erkennen we ze afzonderlijk en wijzen we aparte CVE-ID's toe; beloningen worden toegekend voor de probleemklasse als geheel, waarbij de 1e tot en met de 10e rapporten het volledige bedrag voor hun categorie ontvangen en vanaf het 11e rapport 10% van het bedrag voor die categorie. De telling is cumulatief over alle indieners.

Ja. QNAP respecteert alle onderzoeksmethoden; waar het om gaat is de kwaliteit van het rapport zelf. Ongeacht de gebruikte tools, verifieer het probleem altijd zelf voordat u het indient en voeg de stappen voor reproductie en de daadwerkelijke beveiligingsimpact toe aan het rapport. Voor rapporten die alleen ruwe tooloutput bevatten, niet zijn geverifieerd of de impact niet uitleggen, kunnen we u om meer informatie vragen en worden ze pas beoordeeld na gevallen met volledige informatie. Rapporten zonder daadwerkelijke beveiligingsimpact komen niet in aanmerking voor een beloning.

QNAP geeft prioriteit aan problemen die een aanzienlijke impact hebben op gebruikersgegevens en systemen. Daarom worden problemen met een lage ernst geverifieerd en beantwoord nadat problemen met een hoge ernst zijn behandeld, en worden beloningen aangepast op basis van hun ernstniveau. Dit heeft geen invloed op hoe we het probleem aanpakken — alle bevestigde problemen worden opgenomen in het herstelplan. Als u denkt dat de beoordeling niet de werkelijke impact weergeeft, stuur dan een e-mail naar security@qnap.com met informatie die de impactbeoordeling kan verhogen, zoals lagere privilegevereisten, een breder scala aan getroffen versies, of een uitleg over hoe het probleem gecombineerd kan worden met andere problemen om een volledige aanvalsketen te vormen.

Als uw probleem een suggestie voor een beveiligings­verbetering is die geen daadwerkelijke schade veroorzaakt, wordt u alsnog opgenomen in onze openbare erkenningen, maar er wordt geen beloning toegekend.

Stop onmiddellijk met verdere toegang. Vermeld in de impactbeschrijving van uw rapport de namen van de betrokken tabellen of eindpunten, de veldnamen en het aantal records, en voeg indien nodig een gemaskeerd voorbeeld toe. Het is niet nodig — en doe dit alstublieft niet — om ruwe databestanden toe te voegen.

Verwijder na het indienen van uw rapport alle kopieën binnen 7 kalenderdagen en stuur een ondertekende schriftelijke verwijderings­verklaring per e-mail waarin het bereik van de verwijderde gegevens, de datum en tijd van verwijdering, de verwijderingsmethode worden vermeld, en waarin wordt bevestigd dat alle opslaglocaties die in de Testgedrag en regels voor gegevensverwerking zijn genoemd, zijn meegenomen. Deze verklaring is een vereiste om een beloning te ontvangen.

De verklaring mag de naam of het onderzoeksalias gebruiken die u bij het rapporteren heeft gebruikt; er is geen ander bewijs van identiteit vereist. Als het beleid van uw organisatie het niet toestaat om onder uw persoonlijke naam te ondertekenen, kan een contactpersoon van uw organisatie deze namens u afgeven, of kunt u per e-mail reageren en elk punt bevestigen. Als de verklaring niet binnen de termijn wordt verstrekt, sturen wij eerst een herinnering per e-mail en schorten wij de beloningsbeoordeling voor het geval op.

Het nauwkeurig beschrijven van de omvang van uw toegang heeft geen invloed op uw recht op een beloning; integendeel, het helpt QNAP om de impact nauwkeurig te beoordelen en de nodige maatregelen te nemen.

Abonnement op beveiligingsadviezen

Wij raden aan om u te abonneren op QNAP-beveiligingsadviezen om als eerste beveiligingsinformatie te ontvangen!

Neem nu een abonnementHoe beveiligingsadviezen te lezen

Laatst bijgewerkt: 2026/08/31. De voorwaarden van dit programma kunnen van tijd tot tijd worden aangepast; de nieuwste versie die op deze pagina wordt gepubliceerd is leidend.

Kies specificatie

      Toon meer Minder
      Deze website in andere landen/regio's:
      back to top