[Viktigt Säkerhet meddelande] Falska Qfinder Pro webbplatser har upptäckts. Läs mer >
Search

Belöningsprogram för säkerhet

QNAP är engagerade i cybersäkerhet och samarbetar med partners och säkerhetsgemenskapen för att säkerställa säkerheten för QNAP:s produkter, vilket ger användarna ökad sinnesro och skyddar produktsystem och data. För att tacka forskare som upptäcker potentiella säkerhetsproblem och hjälper till att förbättra kundernas säkerhet erbjuder QNAP belöningar genom sitt Security Bounty Program.

Tack

Programmets omfattning

Bounty-programmet accepterar endast rapporter om säkerhetsrisker relaterade till QNAP:s produkter och onlinetjänster. Alla säkerhetsrapporter utanför programmets omfattning accepteras inte och är inte berättigade till belöning. Programmet accepterar eller belönar inte säkerhetsrisker som hittas i tredjepartsprogramvara (t.ex. tredjeparts-QPKG:er). Om du upptäcker ett säkerhetsproblem i sådan programvara, vänligen kontakta och informera den relevanta leverantören eller utvecklaren direkt. För andra säkerhetsproblem som ligger utanför programmets belöningsområde men som rör QNAP:s produkter eller tjänster, se Policy för koordinerad sårbarhetsrapportering för hur du rapporterar dem.

  • Operativsystem

    Belöning upp till 20 000 USD

    Operativsystem utvecklade av QNAP – QTS, QuTS hero och QuTScloud – omfattas alla av detta program.

  • Program

    Belöning upp till 10 000 USD

    Appar som officiellt utvecklats av QNAP.

  • Molntjänster

    Belöning upp till 5 000 USD

    Molntjänster som officiellt tillhandahålls av QNAP.

Hur rapporterar man säkerhetsproblem och sårbarheter?

Kryptera din e-post med hjälp av PGP-publik nyckel nedan och skicka den till security@qnap.com. QNAP PSIRT kommer att kontakta forskaren för att bekräfta inskickandet.

Rekommenderat format för säkerhetsriskrapport

  • Operativsystem

  • Program

  • Molntjänster

PGP krypteringsnyckel

Rapportera säkerhetsrisk

Behörighetskriterier

  • Du måste vara den första forskaren som rapporterar sårbarheten.

  • Du har inte offentliggjort sårbarheten.

  • Sårbarheten du rapporterar har bekräftats av QNAP-personal som verifierbar, reproducerbar och berättigad till belöning.

  • Du godkänner och följer helt och hållet Regler för Bounty Program.

  • Om du under din forskning fått tillgång till icke-offentliga data från QNAP eller dess användare har du raderat dessa data i enlighet med Regler för testbeteende och datahantering och lämnat in ett skriftligt raderingsintyg inom angiven tidsperiod.

Beloppsnivåerna för belöning kan justeras beroende på följande:

Bonusfaktorer

  • Följ det rekommenderade formatet för sårbarhetsrapport: Ange nödvändig och tillräcklig information om sårbarheten. Rekommenderade format: Exempel på format för operativsystem, Exempel på format för applikation, Exempel på format för molntjänst.

  • Reproduktionssteg: Tydliga och detaljerade steg för att återskapa problemet.

  • Problembeskrivning: En välstrukturerad sårbarhetsrapport med tydligt organiserade stycken.

  • Kompletterande information: Punkter som rekommenderas i exemplen på sårbarhets­rapport­format, eller annan användbar information såsom testkod, skript eller andra detaljerade förklaringar.

  • Ange hela den råa exploit-payloaden i textform: Om payloaden endast tillhandahålls som en bild kan QNAP:s PSIRT-team inte garantera att den kan återskapas korrekt. Om en giltig attack inte kan återskapas kan sårbarhetsbedömningen ogiltigförklaras.

Justeringfaktorer

  • Allvarlighetsgrad och granskningsordning: QNAP PSIRT prioriterar verifiering och åtgärder baserat på allvarlighetsgraden, där frågor med betydande påverkan på användardata och system ges högsta prioritet. Allvarlighetsgraden fastställs av Bounty Committee med hänvisning till CVSS v3.1-poängen, i kombination med faktisk exploaterbarhet och omfattning av påverkan. Ärenden som bedöms som låg allvarlighetsgrad granskas efter ärenden med hög allvarlighetsgrad. Alla bekräftade ärenden som påverkar produkter som fortfarande har support, oavsett allvarlighetsgrad, kommer att inkluderas i QNAP:s åtgärdsplan.

  • Belöningsbelopp efter allvarlighetsgrad: Belöningar ges enligt den allvarlighetsnivå som tilldelats ärendet. Belöningar för ärenden med låg allvarlighetsgrad justeras därefter och är lägre än för ärenden med hög allvarlighetsgrad inom samma område. Det belopp som publiceras för varje område är det maximala för det området, inte ett garanterat belopp för varje fall.

  • Om ett ärende bedöms som låg allvarlighetsgrad och endast är ett förslag på säkerhetsförbättring som inte orsakar någon faktisk skada (t.ex. konfigurations­rekommendationer, avslöjande av versions- eller sökvägsinformation, påminnelser om bästa praxis), och verifiering inte kan visa att det faktiskt kan utnyttjas för att orsaka skada, kommer ingen belöning att utdelas. Det betraktas dock fortfarande som ett giltigt ärende och du kommer ändå att inkluderas i våra offentliga erkännanden. Detta skiljer sig från "inte berättigad till belöning" (inte accepterad och inte erkänd); den huvudsakliga skillnaden mellan de två är om verifierbara faktiska resultat har tillhandahållits. För specifika fall som inte är berättigade till belöning, se "Noteringar" för varje område.

  • Dubbletter och ärenden med samma ursprung: Om flera rapporter bekräftas ha samma grundorsak eller samma kodväg, eller kan lösas med samma åtgärd, kan QNAP PSIRT utvärdera dem som ett enda fall. Belöningen för ett sammanslaget fall är begränsad till ett enda belopp för den nivå som fallet tillhör och ackumuleras inte utifrån antalet rapporter; belöningen går till den första fullständiga rapporten som mottagits.

  • Efterföljande rapporter av samma ärendetyp: Efterföljande rapporter av en ärendetyp som QNAP redan har accepterat eller åtgärdat (inklusive ärenden av samma typ i olika gränssnitt, parametrar eller moduler) kan behandlas som varianter av det befintliga fallet. Sådana rapporter kommer ändå att individuellt erkännas som giltiga ärenden och tilldelas individuella CVE-ID:n, medan belöningar ges för ärendeklassen som helhet: de 1:a till 10:e rapporterna i samma ärendeklass får fullt belopp för sin nivå; från och med den 11:e rapporten ges 10 % av nivåbeloppet. Antalet är kumulativt över alla rapportörer, utan separat räkneperiod. "Samma ärendeklass" bestäms av samma CWE-klassificering tillsammans med samma funktionella komponent eller samma kodmönster. QNAP PSIRT kommer att informera dig om variantbedömningen och det aktuella kumulativa sekvensnumret för den ärendeklassen i bekräftelsemejlet om sårbarheten. Om du inte håller med kan du skriva till oss inom 14 kalenderdagar efter att du mottagit mejlet.

  • Rapportens fullständighet och reproducerbarhet: För rapporter där rapportören inte självständigt har verifierat problemet, eller endast har tillhandahållit rå utdata från verktyg utan att förklara den faktiska påverkan och hur det kan återskapas, kan QNAP PSIRT be rapportören att lämna ytterligare information. Tills den ytterligare informationen har tillhandahållits kommer ärendet att behandlas efter ärenden med fullständig information.

  • Faktisk säkerhetspåverkan: Belöningar kommer att justeras därefter för problem som är rent teoretiska, kräver mycket ovanliga förutsättningar eller inte kan visas ha någon väsentlig påverkan på användardata och system.

Tack

Tack till alla forskare för er expertis och ert engagemang.

Vanliga frågor och svar

Belöningsmekanismen och beloppet bestäms av Bounty Review Team, som består av medlemmar från QNAP PSIRT, och tar hänsyn till följande faktorer: hur komplicerat det är att utnyttja säkerhetsrisken samt hotet som risken utgör, inklusive andelen drabbade användare och system.

Ja. Om en video gör det lättare att förstå hur säkerhetsrisken utnyttjas kan belöningskommittén höja belöningen därefter. Observera att skriftlig dokumentation krävs (t.ex. ett PoC-dokument och en fullständig förklaring), eftersom detta hjälper till att hantera processen för avslöjande av säkerhetsrisker.

En säkerhetsriskrapport måste minst innehålla: namnet på den drabbade produkten samt dess version och build-nummer, eller webbadressen till molntjänsten; en sammanfattning av säkerhetsriskens potentiella hot; och detaljerade, tydliga steg för att återskapa risken, gärna kompletterat med en video för att visa hur risken kan återskapas.

Kryptera din rapport med den publika PGP-nyckel som QNAP tillhandahåller och skicka den till security@qnap.com. När e-postmeddelandet har tagits emot kommer systemet automatiskt att svara med ett tekniskt ärendenummer som forskaren kan använda för att följa granskningsprocessen.

QNAP:s PSIRT-team kommer att kontakta forskaren proaktivt för att bekräfta om inlämningen är komplett. För fall med fullständig information som initialt bedöms som hög allvarlighetsgrad kommer forskaren i princip att få ett bekräftelsemail om sårbarheten från QNAP PSIRT inom en vecka efter att informationen bekräftats som komplett, inklusive det CVE-ID som tilldelats rapporten.

Förslag på belöningsbelopp skickas via e-post fyra veckor efter att bekräftelsemailet om sårbarheten skickats. Om forskaren accepterar förslaget förväntar sig QNAP att slutföra betalningen inom tolv veckor efter att bekräftelsesvaret mottagits.

Vid verifiering analyserar QNAP PSIRT grundorsaken till varje fall. Om flera rapporter bekräftas ha samma grundorsak, samma kodväg eller samma designmönster hanteras de som ett enda fall och belöningen går till den första kompletta rapporten som mottagits; om en senare rapport tillför ytterligare information om säkerhetspåverkan tar vi ändå hänsyn till det. För problem av samma typ som kräver en oberoende åtgärd erkänns de individuellt och separata CVE-ID:n tilldelas; belöningar ges för hela problemklassen, där rapport 1 till 10 får hela beloppsnivån och från och med rapport 11 ges 10 % av beloppsnivån. Antalet är kumulativt för alla rapportörer.

Ja. QNAP respekterar alla forskningsmetoder; det vi bryr oss om är rapportens kvalitet. Oavsett vilka verktyg som används, vänligen verifiera själv problemet innan du skickar in och inkludera reproduktionssteg samt faktisk säkerhetspåverkan i rapporten. För rapporter som endast innehåller rådata från verktyg, inte har verifierats eller inte förklarar påverkan kan vi behöva be om mer information, och de granskas efter fall med komplett information. Rapporter som bedöms sakna faktisk säkerhetspåverkan är inte berättigade till belöning.

QNAP prioriterar resurser för problem som har betydande påverkan på användardata och system. Därför verifieras och besvaras problem med låg allvarlighetsgrad efter problem med hög allvarlighetsgrad, och belöningar justeras enligt deras allvarlighetsnivå. Detta påverkar inte hur vi hanterar problemet — alla bekräftade problem inkluderas i åtgärdsplanen. Om du anser att bedömningen inte speglar den faktiska påverkan, vänligen mejla security@qnap.com med information som kan höja påverkningsbedömningen, såsom lägre behörighetskrav, ett bredare urval av påverkade versioner eller en förklaring av hur problemet kan kedjas med andra problem för att bilda en komplett attackkedja.

Om ditt problem är ett förslag på säkerhetsförbättring som inte orsakar någon faktisk skada kommer vi ändå att inkludera dig i våra offentliga erkännanden, men ingen belöning kommer att delas ut.

Sluta omedelbart med all vidare åtkomst. Ange i din rapports beskrivning av påverkan namnen på de tabeller eller endpoints som är inblandade, fältnamn och antal poster, och bifoga vid behov ett maskerat exempel. Det finns ingen anledning att — och vänligen gör det inte — bifoga rådatafiler.

När du har skickat in din rapport ska du radera alla kopior inom 7 kalenderdagar och mejla ett undertecknat raderingsintyg där du anger omfattningen av raderade data, datum och tid för raderingen samt raderingsmetod, och bekräftar att alla lagringsplatser som anges i Regler för testbeteende och datahantering har täckts. Detta intyg är ett krav för att få belöning.

Intyget kan använda det namn eller forskningsalias du använde vid rapporteringen; inget annat identitetsbevis krävs. Om din organisations policy hindrar dig från att skriva under med ditt personliga namn kan en kontaktperson från din organisation utfärda det åt dig, eller så kan du svara via e-post och bekräfta varje punkt. Om intyget inte lämnas in inom tidsfristen skickar vi först en påminnelse via e-post och pausar belöningsbedömningen för ärendet.

Att noggrant beskriva omfattningen av din åtkomst påverkar inte din rätt till belöning; tvärtom hjälper det QNAP att korrekt bedöma påverkan och vidta nödvändiga åtgärder.

Prenumeration på Security Advisory

Vi rekommenderar att du prenumererar på QNAP Security Advisories för att få förstahandsinformation om säkerhet!

Prenumerera nuHur du läser säkerhetsmeddelanden

Senast uppdaterad: 2026-08-31. Villkoren för detta program kan justeras från tid till annan; den senaste versionen som publiceras på denna sida gäller.

Välj specifikation

      Visa fler Färre
      Denna webbplats i andra länder/regioner:
      back to top