[Aviso Importante Segurança] Foram detetados websites falsos de Qfinder Pro. Saiba mais >
Search

Programa de recompensas de segurança

A QNAP está empenhada na cibersegurança e trabalha em conjunto com parceiros e a comunidade de segurança para garantir a segurança dos produtos QNAP, proporcionando aos utilizadores maior tranquilidade e protegendo os sistemas e dados dos produtos. Para agradecer aos investigadores que descobrem potenciais problemas de segurança e ajudam a melhorar a segurança dos clientes, a QNAP oferece recompensas através do seu Programa de Recompensas de Segurança.

Agradecimentos

Âmbito do programa

O Programa de Recompensas só aceita relatórios de vulnerabilidades de segurança relacionadas com produtos e serviços online da QNAP. Qualquer relatório de segurança fora do âmbito deste Programa não é aceite e não é elegível para recompensa. Este Programa não aceita nem recompensa vulnerabilidades de segurança encontradas em software de terceiros (por exemplo, QPKGs de terceiros). Se descobrir um problema de segurança nesse software, contacte e notifique diretamente o fornecedor ou programador relevante. Para outros problemas de segurança que estejam fora do âmbito de recompensa deste Programa, mas relacionados com produtos ou serviços da QNAP, consulte o Política de divulgação coordenada de vulnerabilidades para saber como os reportar.

  • Sistemas operativos

    Recompensa até 20 000 USD

    Sistemas operativos desenvolvidos pela QNAP — QTS, QuTS hero e QuTScloud — estão todos abrangidos por este Programa.

  • Aplicações

    Recompensa até 10 000 USD

    Aplicações oficialmente desenvolvidas pela QNAP.

  • Serviços em nuvem

    Recompensa até 5 000 USD

    Serviços em nuvem oficialmente fornecidos pela QNAP.

Como comunicar problemas e vulnerabilidades de segurança?

Por favor, encripte o seu e-mail utilizando o Chave pública PGP abaixo e envie-o para security@qnap.com. O PSIRT da QNAP entrará proativamente em contacto com o investigador para confirmar a submissão.

Formato recomendado para relatório de vulnerabilidade

  • Sistemas operativos

  • Aplicações

  • Serviços em nuvem

Chave de encriptação PGP

Comunicar vulnerabilidade

Critérios de elegibilidade

  • Deve ser o primeiro investigador a comunicar a vulnerabilidade.

  • Não divulgou publicamente a vulnerabilidade.

  • A vulnerabilidade que comunica é confirmada pela equipa da QNAP como verificável, reproduzível e elegível para uma recompensa.

  • Concorda plenamente e cumpre com o Regras do Programa de Recompensas.

  • Se acedeu a dados não públicos da QNAP ou dos seus utilizadores durante a sua investigação, eliminou esses dados em conformidade com o Regras de Conduta de Testes e Tratamento de Dados e forneceu uma declaração escrita de eliminação dentro do período exigido.

Os valores das recompensas podem ser ajustados consoante o seguinte:

Fatores de bónus

  • Siga o formato recomendado para o relatório de vulnerabilidade: Por favor, forneça informações necessárias e suficientes sobre a vulnerabilidade. Formatos recomendados: Exemplo de formato do sistema operativo, Exemplo de formato da aplicação, Exemplo de formato do serviço cloud.

  • Passos de reprodução: Passos claros e detalhados para reproduzir.

  • Descrição do problema: Um relatório de vulnerabilidade bem organizado com parágrafos claramente estruturados.

  • Informação suplementar: Itens recomendados nos exemplos de formato de relatório de vulnerabilidade, ou outras informações úteis como código de teste, scripts ou outras explicações detalhadas.

  • Forneça o payload completo do exploit em formato de texto: Se o payload for fornecido apenas como imagem, a equipa PSIRT da QNAP não pode garantir que seja reproduzido corretamente. Se um ataque válido não puder ser reproduzido, a determinação da vulnerabilidade pode ser invalidada.

Fatores de ajuste

  • Gravidade do problema e ordem de revisão: A PSIRT da QNAP prioriza a verificação e a correção com base na gravidade do problema, dando prioridade a questões com impacto significativo nos dados e sistemas dos utilizadores. A gravidade é determinada pelo Comité de Recompensas com referência à pontuação CVSS v3.1, combinada com a explorabilidade real e o âmbito do impacto. Problemas classificados como de baixa gravidade serão analisados após os de alta gravidade. Todos os problemas confirmados que afetem produtos ainda dentro do seu período de suporte, independentemente da gravidade, serão incluídos no calendário de correção da QNAP.

  • Montante da recompensa por gravidade: As recompensas são atribuídas de acordo com o nível de gravidade atribuído ao problema. As recompensas para problemas classificados como de baixa gravidade serão ajustadas em conformidade e serão inferiores às dos problemas de alta gravidade no mesmo âmbito. O montante publicado para cada âmbito é o máximo para esse âmbito, não um valor garantido para cada caso.

  • Se um problema for classificado como de baixa gravidade e for apenas uma sugestão de melhoria de segurança que não cause danos reais (por exemplo, recomendações de configuração, divulgação de informações de versão ou caminho, lembretes de boas práticas), e a verificação não conseguir demonstrar que pode ser explorado para causar danos, não será atribuída qualquer recompensa. No entanto, continua a ser considerado um problema válido e será incluído nos nossos agradecimentos públicos. Isto difere de "não elegível para recompensa" (não aceite e não reconhecido); a principal distinção entre ambos é se são fornecidos resultados de execução reais verificáveis. Para casos específicos que não são elegíveis para recompensa, consulte as "Notas" de cada âmbito.

  • Problemas duplicados e de mesma origem: Se vários relatórios forem confirmados como provenientes da mesma causa raiz ou do mesmo caminho de código, ou puderem ser resolvidos pela mesma correção, a PSIRT da QNAP pode avaliá-los como um único caso. A recompensa para um caso agrupado está limitada a um único montante para o nível a que pertence e não acumula pelo número de relatórios; a recompensa é atribuída ao primeiro relatório completo recebido.

  • Relatórios subsequentes do mesmo tipo de problema: Relatórios subsequentes de um tipo de problema que a QNAP já aceitou ou corrigiu (incluindo problemas do mesmo tipo em diferentes interfaces, parâmetros ou módulos) podem ser tratados como variantes do caso existente. Estes relatórios serão ainda reconhecidos individualmente como problemas válidos e receberão individualmente IDs CVE, enquanto as recompensas serão atribuídas para a classe de problema como um todo: do 1.º ao 10.º relatório na mesma classe de problema recebem o montante total para o seu nível; a partir do 11.º relatório, é atribuído 10% do montante do nível. A contagem é cumulativa entre todos os participantes, sem período de contagem separado. A "mesma classe de problema" é determinada pela mesma classificação CWE juntamente com o mesmo componente funcional ou o mesmo padrão de código. A PSIRT da QNAP irá informar sobre a determinação da variante e o número sequencial cumulativo atual para essa classe de problema no e-mail de confirmação da vulnerabilidade. Se não concordar, pode contactar-nos no prazo de 14 dias de calendário após receber o e-mail.

  • Integridade e reprodutibilidade do relatório: Para relatórios em que o autor não re-verificou de forma independente o problema, ou apenas forneceu a saída bruta da ferramenta sem explicar o impacto real e como reproduzi-lo, o PSIRT da QNAP pode pedir ao autor para fornecer informações adicionais. Até que as informações adicionais sejam fornecidas, o caso será analisado após os casos com informações completas.

  • Impacto real na segurança: As recompensas serão ajustadas em conformidade para questões que sejam puramente teóricas, exijam pré-condições altamente invulgares ou não possam demonstrar um impacto substancial nos dados e sistemas dos utilizadores.

Agradecimentos

Obrigado a todos os investigadores pela vossa experiência e dedicação.

Perguntas frequentes

O mecanismo de recompensa e o valor da recompensa são determinados pela Equipa de Revisão de Recompensas, composta por membros do QNAP PSIRT, tendo em conta os seguintes fatores: a complexidade da exploração bem-sucedida da vulnerabilidade e a ameaça representada pela vulnerabilidade, incluindo a percentagem de utilizadores e sistemas afetados.

Sim. Se um vídeo facilitar a compreensão de como a vulnerabilidade é explorada, o Comité de Recompensas pode aumentar a recompensa em conformidade. Tenha em atenção que é obrigatória a documentação escrita (por exemplo, um documento PoC e uma explicação completa), pois isto ajuda a gerir o processo de divulgação da vulnerabilidade.

No mínimo, um relatório de vulnerabilidade deve incluir: o nome do produto afetado e respetiva versão e número de compilação, ou o URL do serviço em nuvem; um resumo da ameaça potencial da vulnerabilidade; e passos detalhados e claros para a reprodução, podendo opcionalmente ser acompanhado por um vídeo para reproduzir a vulnerabilidade.

Por favor, encripte o seu relatório utilizando a chave pública PGP fornecida pela QNAP e envie-o para security@qnap.com. Assim que o e-mail for recebido, o sistema irá responder automaticamente com um número de ticket técnico, que o investigador pode utilizar para verificar o progresso da análise.

A equipa PSIRT da QNAP entrará proativamente em contacto com o investigador para confirmar se a submissão está completa. Nos casos em que as informações estejam completas e sejam inicialmente avaliadas como de alta gravidade, o investigador receberá, em princípio, um e-mail de confirmação de vulnerabilidade da equipa PSIRT da QNAP no prazo de uma semana após a confirmação da informação, incluindo o ID CVE atribuído ao relatório.

Uma proposta de recompensa será enviada por e-mail quatro semanas após o envio do e-mail de confirmação da vulnerabilidade. Se o investigador aceitar a proposta, a QNAP prevê concluir o pagamento no prazo de doze semanas após receber a resposta de confirmação.

Durante a verificação, a equipa PSIRT da QNAP analisa a causa raiz de cada caso. Se vários relatórios forem confirmados como resultantes da mesma causa raiz, do mesmo caminho de código ou do mesmo padrão de design, serão tratados como um único caso e a recompensa será atribuída ao primeiro relatório completo recebido; se um relatório subsequente fornecer informações adicionais sobre o impacto na segurança, estas serão igualmente consideradas. Para problemas do mesmo tipo que exijam uma correção independente, serão reconhecidos individualmente e atribuídos IDs CVE separados; as recompensas serão concedidas para a classe de problemas como um todo, sendo que do 1.º ao 10.º relatório será atribuído o valor total do escalão e, a partir do 11.º relatório, 10% do valor do escalão. A contagem é cumulativa entre todos os investigadores.

Sim. A QNAP respeita todos os métodos de investigação; o que nos importa é a qualidade do próprio relatório. Independentemente das ferramentas utilizadas, por favor verifique novamente o problema antes de submeter e inclua os passos de reprodução e o impacto real na segurança no relatório. Para relatórios que incluam apenas a saída bruta da ferramenta, que não tenham sido verificados ou que não expliquem o impacto, poderemos pedir-lhe mais informações e estes serão analisados após os casos com informação completa. Relatórios avaliados como não tendo impacto real na segurança não serão elegíveis para recompensa.

A QNAP prioriza recursos para problemas com impacto significativo nos dados e sistemas dos utilizadores. Por isso, questões de baixa gravidade são verificadas e respondidas após as de alta gravidade, e as recompensas são ajustadas de acordo com o escalão de gravidade. Isto não afeta a forma como tratamos o problema — todas as questões confirmadas são incluídas no calendário de correções. Se considerar que a classificação não reflete o impacto real, envie um e-mail para security@qnap.com com informações que possam aumentar a avaliação do impacto, como pré-requisitos de privilégios mais baixos, uma gama mais ampla de versões afetadas ou uma explicação de como o problema pode ser encadeado com outros para formar uma cadeia de ataque completa.

Se o seu problema for uma sugestão de melhoria de segurança que não cause qualquer dano real, será incluído nos nossos agradecimentos públicos, mas não será atribuída qualquer recompensa.

Por favor, interrompa imediatamente qualquer acesso adicional. Na descrição do impacto do seu relatório, indique os nomes das tabelas ou endpoints envolvidos, os nomes dos campos e o número de registos e, se necessário, anexe uma amostra mascarada. Não é necessário — e por favor não anexe — ficheiros de dados brutos.

Após submeter o seu relatório, elimine todas as cópias no prazo de 7 dias de calendário e envie por e-mail uma declaração de eliminação assinada, indicando o âmbito dos dados eliminados, a data e hora da eliminação e o método utilizado, confirmando que todos os locais de armazenamento listados no Regras de Conduta de Testes e Tratamento de Dados foram abrangidos. Esta declaração é um pré-requisito para receber uma recompensa.

A declaração pode utilizar o nome ou pseudónimo de investigação usado no relatório; não é necessária outra prova de identidade. Se as políticas da sua organização impedirem que assine em nome pessoal, um contacto da sua organização pode emiti-la em seu nome, ou pode responder por e-mail confirmando cada ponto. Se a declaração não for fornecida dentro do prazo, enviaremos primeiro um lembrete por e-mail e suspenderemos a avaliação da recompensa para o caso.

Descrever com precisão a extensão do seu acesso não afetará a sua elegibilidade para recompensa; pelo contrário, ajuda a QNAP a avaliar corretamente o impacto e a tomar as medidas necessárias.

Subscrição de Avisos de Segurança

Recomendamos que subscreva os Avisos de Segurança da QNAP para receber informações de segurança em primeira mão!

Subscreva agoraComo ler avisos de segurança

Última atualização: 31/08/2026. Os termos deste Programa podem ser ajustados periodicamente; prevalece sempre a versão mais recente publicada nesta página.

Escolher especificação

      Mostrar mais Menos
      Este site noutros países/regiões:
      back to top