[Aviso Importante de Segurança] Sites falsos do Qfinder Pro detectados. Saiba mais >
Search

Programa de recompensas de segurança

A QNAP está comprometida com a cibersegurança e trabalha em conjunto com parceiros e a comunidade de segurança para garantir a proteção dos produtos QNAP, proporcionando maior tranquilidade aos usuários e protegendo sistemas e dados dos produtos. Para agradecer aos pesquisadores que descobrem possíveis problemas de segurança e ajudam a melhorar a segurança dos clientes, a QNAP oferece recompensas por meio do seu Programa de Recompensas de Segurança.

Agradecimentos

Âmbito do programa

O Programa de Recompensas aceita apenas relatos de vulnerabilidades de segurança relacionadas a produtos e serviços online da QNAP. Qualquer relatório de segurança fora do escopo deste Programa não será aceito e não será elegível para recompensa. Este Programa não aceita nem recompensa vulnerabilidades de segurança encontradas em softwares de terceiros (por exemplo, QPKGs de terceiros). Se você descobrir um problema de segurança em tal software, entre em contato e notifique diretamente o fornecedor ou desenvolvedor responsável. Para outros problemas de segurança que estejam fora do escopo de recompensa deste Programa, mas relacionados a produtos ou serviços da QNAP, consulte o Política de Divulgação Coordenada de Vulnerabilidades para saber como relatá-los.

  • Sistemas operativos

    Recompensa de até US$20.000

    Sistemas operacionais desenvolvidos pela QNAP — QTS, QuTS hero e QuTScloud — estão todos cobertos por este Programa.

  • Aplicações

    Recompensa de até US$10.000

    Aplicativos desenvolvidos oficialmente pela QNAP.

  • Serviços em nuvem

    Recompensa de até US$5.000

    Serviços em nuvem fornecidos oficialmente pela QNAP.

Como relatar problemas e vulnerabilidades de segurança?

Por favor, criptografe seu e-mail usando o Chave pública PGP abaixo e envie para security@qnap.com. O QNAP PSIRT entrará em contato proativamente com o pesquisador para confirmar o envio.

Formato recomendado para relatório de vulnerabilidade

  • Sistemas operativos

  • Aplicações

  • Serviços em nuvem

Chave de encriptação PGP

Comunicar vulnerabilidade

Critérios de Elegibilidade

  • Você deve ser o primeiro pesquisador a relatar a vulnerabilidade.

  • Você não divulgou publicamente a vulnerabilidade.

  • A vulnerabilidade que você relatou foi confirmada pela equipe da QNAP como verificável, reproduzível e elegível para recompensa.

  • Você concorda plenamente e cumpre com o Regras do Programa de Recompensas.

  • Se você acessou dados não públicos da QNAP ou de seus usuários durante sua pesquisa, você excluiu esses dados de acordo com o Regras de Conduta de Testes e Tratamento de Dados e forneceu uma declaração de exclusão por escrito dentro do prazo exigido.

Os valores das recompensas podem ser ajustados dependendo dos seguintes fatores:

Fatores de bônus

  • Siga o formato recomendado para o relatório de vulnerabilidade: forneça informações necessárias e suficientes sobre a vulnerabilidade. Formatos recomendados: Exemplo de formato de Sistema Operacional, Exemplo de formato de Aplicativo, Exemplo de formato de Serviço em Nuvem.

  • Etapas de reprodução: etapas claras e detalhadas para reproduzir o problema.

  • Descrição do problema: um relatório de vulnerabilidade bem organizado com parágrafos claramente estruturados.

  • Informações suplementares: itens recomendados nos exemplos de formato de relatório de vulnerabilidade ou outras informações úteis, como código de teste, scripts ou outras explicações detalhadas.

  • Forneça o payload bruto completo do exploit em formato de texto: se o payload for fornecido apenas como imagem, a equipe PSIRT da QNAP não pode garantir que ele possa ser reproduzido corretamente. Se um ataque válido não puder ser reproduzido, a determinação da vulnerabilidade pode ser invalidada.

Fatores de ajuste

  • Gravidade do problema e ordem de revisão: O QNAP PSIRT prioriza a verificação e a correção com base na gravidade do problema, dando prioridade a questões com impacto significativo nos dados e sistemas dos usuários. A gravidade do problema é determinada pelo Comitê de Recompensas com referência à pontuação CVSS v3.1, combinada com a explorabilidade no mundo real e o alcance do impacto. Problemas classificados como de baixa gravidade serão revisados após os de alta gravidade. Todos os problemas confirmados que afetam produtos ainda dentro do período de suporte, independentemente da gravidade, serão incluídos no cronograma de correção da QNAP.

  • Valor da recompensa por gravidade: As recompensas são concedidas de acordo com o nível de gravidade atribuído ao problema. Recompensas para problemas classificados como de baixa gravidade serão ajustadas de acordo e serão inferiores às de problemas de alta gravidade no mesmo escopo. O valor publicado para cada escopo é o máximo para aquele escopo, não um valor garantido para cada caso.

  • Se um problema for classificado como de baixa gravidade e for apenas uma sugestão de melhoria de segurança que não cause dano real (por exemplo, recomendações de configuração, divulgação de informações de versão ou caminho, lembretes de boas práticas), e a verificação não puder demonstrar que ele pode ser explorado para causar dano, nenhuma recompensa será concedida. No entanto, ainda será considerado um problema válido, e você ainda será incluído em nossos agradecimentos públicos. Isso difere de "não elegível para recompensa" (não aceito e não reconhecido); a principal diferença entre os dois é se são fornecidos resultados de execução real verificáveis. Para casos específicos que não são elegíveis para recompensa, consulte as "Observações" de cada escopo.

  • Problemas duplicados e de mesma origem: Se vários relatórios forem confirmados como provenientes da mesma causa raiz ou do mesmo caminho de código, ou puderem ser resolvidos pela mesma correção, o QNAP PSIRT pode avaliá-los como um único caso. A recompensa para um caso mesclado é limitada a um único valor para o nível ao qual o caso pertence e não se acumula pelo número de relatórios; a recompensa vai para o primeiro relatório completo recebido.

  • Relatórios subsequentes do mesmo tipo de problema: Relatórios subsequentes de um tipo de problema que a QNAP já aceitou ou corrigiu (incluindo problemas do mesmo tipo em diferentes interfaces, parâmetros ou módulos) podem ser tratados como variantes do caso existente. Esses relatórios ainda serão reconhecidos individualmente como problemas válidos e receberão IDs CVE individuais, enquanto as recompensas serão concedidas para a classe de problema como um todo: do 1º ao 10º relatório na mesma classe de problema recebem o valor total do nível; a partir do 11º relatório, é concedido 10% do valor do nível. A contagem é cumulativa entre todos os participantes, sem período de contagem separado. A "mesma classe de problema" é determinada pela mesma classificação CWE juntamente com o mesmo componente funcional ou o mesmo padrão de código. O QNAP PSIRT irá informá-lo sobre a determinação da variante e o número sequencial cumulativo atual para essa classe de problema no e-mail de confirmação da vulnerabilidade. Se você discordar, pode nos escrever dentro de 14 dias corridos após o recebimento do e-mail.

  • Integridade e reprodutibilidade do relatório: Para relatórios em que o pesquisador não revalidou independentemente o problema, ou apenas forneceu a saída bruta da ferramenta sem explicar o impacto real e como reproduzi-lo, o QNAP PSIRT pode solicitar informações adicionais ao pesquisador. Até que as informações adicionais sejam fornecidas, o caso será revisado após os casos com informações completas.

  • Impacto real na segurança: As recompensas serão ajustadas conforme necessário para questões que sejam puramente teóricas, exijam pré-condições altamente incomuns ou não possam demonstrar impacto substancial nos dados e sistemas dos usuários.

Agradecimentos

Agradecemos a todos os pesquisadores por sua experiência e dedicação.

Perguntas frequentes

O mecanismo de recompensa e o valor da recompensa são definidos pela Equipe de Revisão de Recompensas, composta por membros do QNAP PSIRT, levando em consideração os seguintes fatores: a complexidade para explorar a vulnerabilidade com sucesso e a ameaça representada pela vulnerabilidade, incluindo o percentual de usuários e sistemas afetados.

Sim. Se um vídeo facilitar o entendimento de como a vulnerabilidade é explorada, o Comitê de Recompensas pode aumentar o valor da recompensa. Observe que é necessário fornecer documentação escrita (por exemplo, um documento de PoC e uma explicação completa), pois isso ajuda a gerenciar o processo de divulgação da vulnerabilidade.

No mínimo, um relatório de vulnerabilidade deve incluir: o nome do produto afetado, sua versão e número de build, ou o URL do serviço em nuvem; um resumo da ameaça potencial da vulnerabilidade; e etapas detalhadas e claras para reproduzir, podendo ser acompanhado opcionalmente de um vídeo para reproduzir a vulnerabilidade.

Por favor, criptografe seu relatório usando a chave pública PGP fornecida pela QNAP e envie para security@qnap.com. Assim que o e-mail for recebido, o sistema responderá automaticamente com um número de tíquete técnico, que o pesquisador pode usar para acompanhar o progresso da revisão.

A equipe QNAP PSIRT entrará em contato proativamente com o pesquisador para confirmar se a submissão está completa. Para casos com informações completas que forem inicialmente avaliados como de alta gravidade, o pesquisador, em princípio, receberá um e-mail de confirmação de vulnerabilidade do QNAP PSIRT dentro de uma semana após a confirmação das informações, incluindo o ID CVE atribuído ao relatório.

Uma proposta de recompensa será enviada por e-mail quatro semanas após a data de envio do e-mail de confirmação da vulnerabilidade. Se o pesquisador aceitar a proposta, a QNAP espera concluir o pagamento em até doze semanas após receber a resposta de confirmação.

Durante a verificação, o QNAP PSIRT analisa a causa raiz de cada caso. Se vários relatórios forem confirmados como originados da mesma causa raiz, do mesmo caminho de código ou do mesmo padrão de design, eles serão tratados como um único caso, e a recompensa será concedida ao primeiro relatório completo recebido; se um relatório subsequente fornecer informações adicionais sobre o impacto de segurança, ainda as levaremos em consideração. Para problemas do mesmo tipo que exigem correção independente, iremos reconhecê-los individualmente e atribuir IDs CVE separados; as recompensas serão concedidas para a classe do problema como um todo, sendo que do 1º ao 10º relatório receberão o valor total da categoria e, a partir do 11º relatório, 10% do valor da categoria. A contagem é cumulativa entre todos os pesquisadores.

Sim. A QNAP respeita todos os métodos de pesquisa; o que importa é a qualidade do relatório em si. Independentemente das ferramentas utilizadas, por favor, verifique novamente o problema antes de enviar e inclua os passos de reprodução e o impacto real de segurança no relatório. Para relatórios que incluam apenas a saída bruta da ferramenta, não tenham sido verificados ou não expliquem o impacto, talvez precisemos solicitar mais informações, e eles serão revisados após os casos com informações completas. Relatórios avaliados como sem impacto real de segurança não serão elegíveis para recompensa.

A QNAP prioriza recursos para problemas com impacto significativo em dados e sistemas dos usuários. Portanto, questões de baixa gravidade são verificadas e respondidas após as de alta gravidade, e as recompensas são ajustadas conforme o nível de gravidade. Isso não afeta a forma como tratamos o problema — todas as questões confirmadas são incluídas no cronograma de correção. Se você acredita que a classificação não reflete o impacto real, envie um e-mail para security@qnap.com com informações que possam elevar a avaliação do impacto, como pré-requisitos de privilégio mais baixos, uma gama mais ampla de versões afetadas ou uma explicação de como o problema pode ser encadeado com outros para formar uma cadeia de ataque completa.

Se o seu caso for uma sugestão de melhoria de segurança que não causa dano real, ainda incluiremos seu nome em nossos agradecimentos públicos, mas nenhuma recompensa será concedida.

Por favor, interrompa imediatamente qualquer acesso adicional. Na descrição do impacto do seu relatório, informe os nomes das tabelas ou endpoints envolvidos, os nomes dos campos e o número de registros, e, se necessário, anexe uma amostra mascarada. Não é necessário — e por favor, não — anexar arquivos de dados brutos.

Após enviar seu relatório, exclua todas as cópias em até 7 dias corridos e envie por e-mail uma declaração de exclusão assinada, informando o escopo dos dados excluídos, a data e hora da exclusão, o método de exclusão e confirmando que todos os locais de armazenamento listados no Regras de Conduta de Testes e Tratamento de Dados foram cobertos. Essa declaração é pré-requisito para receber uma recompensa.

A declaração pode usar o nome ou o pseudônimo de pesquisa que você utilizou ao relatar; nenhuma outra comprovação de identidade é necessária. Se as políticas da sua organização impedirem que você assine em nome pessoal, um contato da sua organização pode emitir a declaração em seu nome, ou você pode responder por e-mail confirmando cada item. Se a declaração não for fornecida dentro do prazo, enviaremos primeiro um lembrete por e-mail e suspenderemos a avaliação da recompensa para o caso.

Descrever com precisão a extensão do seu acesso não afetará sua elegibilidade para recompensa; pelo contrário, ajuda a QNAP a avaliar corretamente o impacto e tomar as medidas necessárias.

Assinatura de Avisos de Segurança

Recomendamos assinar os Avisos de Segurança da QNAP para receber informações de segurança em primeira mão!

Assine agoraComo ler avisos de segurança

Última atualização: 31/08/2026. Os termos deste Programa podem ser ajustados periodicamente; prevalecerá a versão mais recente publicada nesta página.

Escolher especificação

      Mostrar mais Menos
      Este site noutros países/regiões:
      back to top