[ประกาศแจ้งเตือนความปลอดภัย] ตรวจพบเว็บไซต์ Qfinder Pro ปลอม เรียนรู้เพิ่มเติม >
Search

โปรแกรมรางวัลช่องโหว่ความปลอดภัย

QNAP มุ่งมั่นด้านความปลอดภัยทางไซเบอร์และทำงานร่วมกับพันธมิตรและชุมชนด้านความปลอดภัย เพื่อให้มั่นใจในความปลอดภัยของผลิตภัณฑ์ QNAP มอบความอุ่นใจให้กับผู้ใช้และปกป้องระบบและข้อมูลของผลิตภัณฑ์ เพื่อขอบคุณนักวิจัยที่ค้นพบปัญหาด้านความปลอดภัยที่อาจเกิดขึ้นและช่วยปรับปรุงความปลอดภัยให้กับลูกค้า QNAP จึงมีโปรแกรม Security Bounty มอบรางวัลตอบแทน

คำขอบคุณ

ขอบเขตของโปรแกรม

โปรแกรม Bounty นี้รับเฉพาะรายงานช่องโหว่ด้านความปลอดภัยที่เกี่ยวข้องกับผลิตภัณฑ์และบริการออนไลน์ของ QNAP เท่านั้น รายงานด้านความปลอดภัยที่อยู่นอกขอบเขตของโปรแกรมนี้จะไม่ได้รับการยอมรับและไม่มีสิทธิ์ได้รับรางวัล โปรแกรมนี้ไม่รับหรือให้รางวัลสำหรับช่องโหว่ที่พบในซอฟต์แวร์ของบุคคลที่สาม (เช่น QPKG ของบุคคลที่สาม) หากคุณพบปัญหาด้านความปลอดภัยในซอฟต์แวร์ดังกล่าว กรุณาติดต่อและแจ้งผู้พัฒนาหรือผู้จำหน่ายที่เกี่ยวข้องโดยตรง สำหรับปัญหาด้านความปลอดภัยอื่น ๆ ที่อยู่นอกขอบเขตการให้รางวัลของโปรแกรมนี้แต่เกี่ยวข้องกับผลิตภัณฑ์หรือบริการของ QNAP กรุณาดูที่ นโยบายการเปิดเผยช่องโหว่แบบประสานงาน เพื่อดูวิธีการรายงาน

  • ระบบปฏิบัติการ

    รางวัลสูงสุดถึง US$20,000

    ระบบปฏิบัติการที่พัฒนาโดย QNAP — QTS, QuTS hero, และ QuTScloud — อยู่ภายใต้ขอบเขตของโปรแกรมนี้ทั้งหมด

  • แอปพลิเคชัน

    รางวัลสูงสุดถึง US$10,000

    แอปพลิเคชันที่พัฒนาโดย QNAP อย่างเป็นทางการ

  • บริการคลาวด์

    รางวัลสูงสุดถึง US$5,000

    บริการคลาวด์ที่ QNAP ให้บริการอย่างเป็นทางการ

จะรายงานปัญหาและช่องโหว่ด้านความปลอดภัยได้อย่างไร?

กรุณาเข้ารหัสอีเมลของคุณโดยใช้ คีย์สาธารณะ PGP ด้านล่างนี้และส่งไปที่ security@qnap.com QNAP PSIRT จะติดต่อผู้วิจัยเชิงรุกเพื่อยืนยันการส่งรายงาน

รูปแบบรายงานช่องโหว่ที่แนะนำ

  • ระบบปฏิบัติการ

  • แอปพลิเคชัน

  • บริการคลาวด์

คีย์เข้ารหัส PGP

รายงานช่องโหว่

เกณฑ์คุณสมบัติ

  • คุณต้องเป็นนักวิจัยคนแรกที่รายงานช่องโหว่นี้

  • คุณต้องไม่เปิดเผยช่องโหว่นี้ต่อสาธารณะ

  • ช่องโหว่ที่คุณรายงานได้รับการยืนยันโดยทีมงาน QNAP ว่าสามารถตรวจสอบได้ ทำซ้ำได้ และมีสิทธิ์ได้รับรางวัล

  • คุณยอมรับและปฏิบัติตาม กติกาโปรแกรม Bounty อย่างเต็มที่

  • หากคุณเข้าถึงข้อมูลที่ไม่เปิดเผยต่อสาธารณะของ QNAP หรือผู้ใช้ระหว่างการวิจัย คุณได้ลบข้อมูลดังกล่าวตาม กฎการปฏิบัติในการทดสอบและการจัดการข้อมูล และได้จัดทำหนังสือรับรองการลบข้อมูลภายในระยะเวลาที่กำหนด

จำนวนเงินรางวัล อาจมีการปรับเปลี่ยน ขึ้นอยู่กับปัจจัยต่อไปนี้:

ปัจจัยโบนัส

  • โปรดปฏิบัติตามรูปแบบรายงานช่องโหว่ที่แนะนำ: กรุณาระบุข้อมูลช่องโหว่ที่จำเป็นและเพียงพอ รูปแบบที่แนะนำ: ตัวอย่างรูปแบบระบบปฏิบัติการ, ตัวอย่างรูปแบบแอปพลิเคชัน, ตัวอย่างรูปแบบบริการคลาวด์

  • ขั้นตอนการทำซ้ำ: ระบุขั้นตอนอย่างชัดเจนและละเอียดเพื่อให้สามารถทำซ้ำได้

  • คำอธิบายปัญหา: รายงานช่องโหว่ที่มีการจัดโครงสร้างเนื้อหาอย่างเป็นระเบียบและชัดเจน

  • ข้อมูลเสริม: รายการที่แนะนำในตัวอย่างรูปแบบรายงานช่องโหว่ หรือข้อมูลอื่น ๆ ที่เป็นประโยชน์ เช่น โค้ดทดสอบ สคริปต์ หรือคำอธิบายรายละเอียดอื่น ๆ

  • โปรดระบุ payload การโจมตีดิบ (raw exploit payload) ฉบับสมบูรณ์ในรูปแบบข้อความ: หาก payload ถูกส่งมาเป็นเพียงภาพ ทีม QNAP PSIRT ไม่สามารถรับประกันได้ว่าจะสามารถทำซ้ำได้อย่างถูกต้อง หากไม่สามารถทำซ้ำการโจมตีที่ถูกต้องได้ การพิจารณาช่องโหว่อาจเป็นโมฆะ

ปัจจัยการปรับเปลี่ยน

  • ระดับความรุนแรงของปัญหาและลำดับการตรวจสอบ: QNAP PSIRT ให้ความสำคัญกับการตรวจสอบและแก้ไขตามระดับความรุนแรงของปัญหา โดยจะให้ความสำคัญกับปัญหาที่ส่งผลกระทบอย่างมีนัยสำคัญต่อข้อมูลและระบบของผู้ใช้ ระดับความรุนแรงของปัญหาจะถูกกำหนดโดยคณะกรรมการ Bounty โดยอ้างอิงคะแนน CVSS v3.1 ร่วมกับการพิจารณาความเป็นไปได้ในการโจมตีจริงและขอบเขตของผลกระทบ ปัญหาที่ถูกจัดอยู่ในระดับความรุนแรงต่ำจะได้รับการตรวจสอบหลังจากปัญหาระดับสูง ทุกปัญหาที่ได้รับการยืนยันซึ่งมีผลกระทบต่อผลิตภัณฑ์ที่ยังอยู่ในระยะเวลาการสนับสนุน ไม่ว่าจะมีความรุนแรงระดับใด จะถูกรวมไว้ในกำหนดการแก้ไขของ QNAP

  • จำนวนรางวัลตามระดับความรุนแรง: รางวัลจะมอบให้ตามระดับความรุนแรงที่กำหนดให้กับปัญหานั้น ๆ รางวัลสำหรับปัญหาที่จัดอยู่ในระดับความรุนแรงต่ำจะถูกปรับลดลงและจะน้อยกว่ารางวัลสำหรับปัญหาระดับสูงในขอบเขตเดียวกัน จำนวนเงินที่ประกาศสำหรับแต่ละขอบเขตเป็นจำนวนสูงสุดของขอบเขตนั้น ไม่ใช่จำนวนที่รับประกันสำหรับแต่ละกรณี

  • หากปัญหาถูกจัดอยู่ในระดับความรุนแรงต่ำและเป็นเพียงข้อเสนอแนะเพื่อปรับปรุงความปลอดภัยโดยไม่มีอันตรายจริง (เช่น ข้อแนะนำการตั้งค่า การเปิดเผยข้อมูลเวอร์ชันหรือเส้นทาง ข้อเตือนแนวปฏิบัติที่ดี) และไม่สามารถยืนยันได้ว่าสามารถนำไปใช้โจมตีเพื่อก่อให้เกิดอันตรายได้จริง จะไม่ได้รับรางวัล อย่างไรก็ตาม ปัญหานี้ยังถือว่าเป็นปัญหาที่ถูกต้อง และเราจะยังคงระบุชื่อคุณในประกาศสาธารณะของเรา ซึ่งแตกต่างจาก "ไม่ได้รับสิทธิ์รับรางวัล" (ไม่ได้รับการยอมรับและไม่ถูกกล่าวถึง) โดยความแตกต่างหลักคือการมีผลการดำเนินการจริงที่สามารถตรวจสอบได้ สำหรับกรณีเฉพาะที่ไม่ได้รับสิทธิ์รับรางวัล โปรดดู "หมายเหตุ" ของแต่ละขอบเขต

  • ปัญหาซ้ำและปัญหาต้นกำเนิดเดียวกัน: หากมีรายงานหลายฉบับที่ได้รับการยืนยันว่ามีสาเหตุรากเดียวกันหรือเส้นทางโค้ดเดียวกัน หรือสามารถแก้ไขได้ด้วยวิธีเดียวกัน QNAP PSIRT อาจพิจารณาให้เป็นกรณีเดียว รางวัลสำหรับกรณีที่ถูกรวมจะถูกจำกัดไว้ที่จำนวนเดียวตามระดับของกรณีนั้น และจะไม่สะสมตามจำนวนรายงาน โดยรางวัลจะมอบให้กับรายงานที่สมบูรณ์และส่งมาก่อน

  • รายงานปัญหาประเภทเดียวกันที่ตามมาภายหลัง: รายงานปัญหาประเภทเดียวกันที่ QNAP ได้ยอมรับหรือแก้ไขไปแล้ว (รวมถึงปัญหาประเภทเดียวกันในอินเทอร์เฟซ พารามิเตอร์ หรือโมดูลที่ต่างกัน) อาจถูกพิจารณาว่าเป็นรูปแบบย่อยของกรณีเดิม รายงานเหล่านี้จะยังได้รับการยอมรับเป็นปัญหาที่ถูกต้องและได้รับหมายเลข CVE แยกกัน ในขณะที่รางวัลจะมอบให้กับกลุ่มปัญหานั้นโดยรวม: รายงานลำดับที่ 1 ถึง 10 ในกลุ่มปัญหาเดียวกันจะได้รับรางวัลเต็มจำนวนตามระดับ ส่วนรายงานลำดับที่ 11 เป็นต้นไปจะได้รับ 10% ของจำนวนรางวัลในระดับนั้น การนับจะสะสมรวมจากผู้รายงานทุกคนโดยไม่มีช่วงเวลานับแยก "กลุ่มปัญหาเดียวกัน" จะพิจารณาจากการจัดประเภท CWE เดียวกันร่วมกับองค์ประกอบฟังก์ชันเดียวกันหรือรูปแบบโค้ดเดียวกัน QNAP PSIRT จะแจ้งให้คุณทราบเกี่ยวกับการพิจารณาว่าเป็นรูปแบบย่อยและลำดับสะสมปัจจุบันของกลุ่มปัญหานั้นในอีเมลยืนยันช่องโหว่ หากคุณไม่เห็นด้วย คุณสามารถแจ้งกลับภายใน 14 วันปฏิทินหลังได้รับอีเมล

  • ความสมบูรณ์และการทำซ้ำได้ของรายงาน: สำหรับรายงานที่ผู้รายงานยังไม่ได้ตรวจสอบปัญหาอีกครั้งด้วยตนเอง หรือให้เพียงผลลัพธ์ดิบจากเครื่องมือโดยไม่มีการอธิบายผลกระทบที่แท้จริงและวิธีการทำซ้ำ QNAP PSIRT อาจขอข้อมูลเพิ่มเติมจากผู้รายงาน จนกว่าจะได้รับข้อมูลเพิ่มเติม กรณีดังกล่าวจะถูกพิจารณาหลังจากกรณีที่มีข้อมูลครบถ้วนแล้ว

  • ผลกระทบด้านความปลอดภัยที่แท้จริง: รางวัลจะถูกปรับตามความเหมาะสมสำหรับปัญหาที่เป็นเพียงทฤษฎี ต้องการเงื่อนไขที่ไม่ปกติอย่างมาก หรือไม่สามารถแสดงให้เห็นถึงผลกระทบที่มีนัยสำคัญต่อข้อมูลและระบบของผู้ใช้ได้

คำขอบคุณ

ขอขอบคุณนักวิจัยทุกท่านสำหรับความเชี่ยวชาญและความทุ่มเท

คำถามที่พบบ่อย

กลไกการให้รางวัลและจำนวนเงินรางวัลจะถูกกำหนดโดยทีม Bounty Review ซึ่งประกอบด้วยสมาชิก QNAP PSIRT โดยพิจารณาจากปัจจัยต่อไปนี้: ความซับซ้อนในการโจมตีช่องโหว่สำเร็จ และภัยคุกคามที่เกิดจากช่องโหว่ รวมถึงเปอร์เซ็นต์ของผู้ใช้และระบบที่ได้รับผลกระทบ

ได้ หากวิดีโอช่วยให้เข้าใจวิธีการโจมตีช่องโหว่ได้ง่ายขึ้น คณะกรรมการ Bounty อาจเพิ่มรางวัลให้ตามความเหมาะสม โปรดทราบว่าต้องมีเอกสารประกอบเป็นลายลักษณ์อักษร (เช่น เอกสาร PoC และคำอธิบายโดยละเอียด) เพื่อช่วยในการจัดการกระบวนการเปิดเผยช่องโหว่

อย่างน้อยที่สุด รายงานช่องโหว่ต้องระบุ: ชื่อผลิตภัณฑ์ที่ได้รับผลกระทบและเวอร์ชันกับหมายเลขบิลด์ หรือ URL ของบริการคลาวด์; สรุปภัยคุกคามที่อาจเกิดขึ้นจากช่องโหว่; และขั้นตอนการทดสอบซ้ำที่ชัดเจนและละเอียด อาจแนบวิดีโอประกอบการทดสอบซ้ำช่องโหว่ได้

โปรดเข้ารหัสรายงานของคุณด้วยคีย์สาธารณะ PGP ที่ QNAP ให้ไว้ และส่งไปที่ security@qnap.com เมื่อระบบได้รับอีเมลแล้ว ระบบจะตอบกลับอัตโนมัติพร้อมหมายเลขตั๋วเทคนิค ซึ่งนักวิจัยสามารถใช้เพื่อตรวจสอบความคืบหน้าของการตรวจสอบ

ทีม QNAP PSIRT จะติดต่อผู้วิจัยเชิงรุกเพื่อยืนยันว่าการส่งรายงานนั้นสมบูรณ์หรือไม่ สำหรับกรณีที่ข้อมูลครบถ้วนและประเมินเบื้องต้นว่ามีความรุนแรงสูง โดยหลักการแล้วผู้วิจัยจะได้รับอีเมลยืนยันช่องโหว่จาก QNAP PSIRT ภายในหนึ่งสัปดาห์หลังจากยืนยันความสมบูรณ์ของข้อมูล รวมถึง CVE ID ที่กำหนดให้กับรายงานนั้น

ข้อเสนอรางวัลจะถูกส่งทางอีเมลเมื่อครบสี่สัปดาห์นับจากวันที่ส่งอีเมลยืนยันช่องโหว่ หากผู้วิจัยยอมรับข้อเสนอ QNAP คาดว่าจะดำเนินการชำระเงินให้เสร็จสิ้นภายในสิบสองสัปดาห์หลังจากได้รับการตอบรับยืนยัน

ระหว่างการตรวจสอบ QNAP PSIRT จะวิเคราะห์สาเหตุรากของแต่ละกรณี หากมีการยืนยันว่ารายงานหลายฉบับเกิดจากสาเหตุรากเดียวกัน เส้นทางโค้ดเดียวกัน หรือรูปแบบการออกแบบเดียวกัน จะถือเป็นกรณีเดียวกันและรางวัลจะมอบให้กับรายงานที่สมบูรณ์และส่งมาก่อน หากรายงานที่ตามมามีข้อมูลผลกระทบด้านความปลอดภัยเพิ่มเติม เราก็จะนำมาพิจารณาด้วย สำหรับปัญหาประเภทเดียวกันที่แต่ละกรณีต้องแก้ไขแยกกัน เราจะรับรองแต่ละกรณีและกำหนด CVE ID แยกต่างหาก รางวัลจะมอบให้กับกลุ่มปัญหานั้นโดยรวม โดยรายงานลำดับที่ 1 ถึง 10 จะได้รับรางวัลเต็มจำนวนตามระดับ และตั้งแต่รายงานลำดับที่ 11 ขึ้นไปจะได้รับ 10% ของระดับรางวัล การนับนี้สะสมรวมจากผู้รายงานทุกคน

ได้ QNAP เคารพทุกวิธีการวิจัย สิ่งที่เราให้ความสำคัญคือคุณภาพของรายงาน ไม่ว่าคุณจะใช้เครื่องมือใด กรุณาตรวจสอบปัญหาด้วยตนเองก่อนส่ง และระบุขั้นตอนการทำซ้ำพร้อมผลกระทบด้านความปลอดภัยที่แท้จริงในรายงาน สำหรับรายงานที่มีเพียงผลลัพธ์ดิบจากเครื่องมือ ยังไม่ได้ตรวจสอบ หรือไม่ได้อธิบายผลกระทบ เราอาจต้องขอข้อมูลเพิ่มเติม และจะพิจารณาหลังจากกรณีที่ข้อมูลครบถ้วน รายงานที่ประเมินว่าไม่มีผลกระทบด้านความปลอดภัยจริงจะไม่ได้รับรางวัล

QNAP ให้ความสำคัญกับการจัดสรรทรัพยากรสำหรับปัญหาที่ส่งผลกระทบอย่างมีนัยสำคัญต่อข้อมูลและระบบของผู้ใช้ ดังนั้นปัญหาที่มีความรุนแรงต่ำจะได้รับการตรวจสอบและตอบกลับหลังจากปัญหาที่มีความรุนแรงสูง และรางวัลจะถูกปรับตามระดับความรุนแรง ทั้งนี้จะไม่ส่งผลต่อการดำเนินการแก้ไข—ปัญหาที่ยืนยันแล้วทั้งหมดจะถูกรวมไว้ในกำหนดการแก้ไข หากคุณเชื่อว่าการจัดระดับไม่สะท้อนผลกระทบที่แท้จริง กรุณาส่งอีเมลไปที่ security@qnap.com พร้อมข้อมูลที่อาจช่วยเพิ่มการประเมินผลกระทบ เช่น ข้อกำหนดสิทธิ์ที่ต่ำกว่า ขอบเขตเวอร์ชันที่ได้รับผลกระทบกว้างขึ้น หรือคำอธิบายว่าปัญหานี้สามารถเชื่อมโยงกับปัญหาอื่นเพื่อสร้างห่วงโซ่การโจมตีที่สมบูรณ์ได้อย่างไร

หากปัญหาของคุณเป็นข้อเสนอแนะเพื่อปรับปรุงความปลอดภัยที่ไม่ก่อให้เกิดอันตรายจริง เรายังคงระบุชื่อคุณในประกาศสาธารณะของเรา แต่จะไม่ได้รับรางวัล

โปรดหยุดการเข้าถึงเพิ่มเติมทันที ในคำอธิบายผลกระทบของรายงานของคุณ ให้ระบุชื่อของตารางหรือ endpoint ที่เกี่ยวข้อง ชื่อฟิลด์ และจำนวนระเบียน และหากจำเป็นให้แนบตัวอย่างที่ปกปิดข้อมูลแล้ว ไม่จำเป็นต้องแนบไฟล์ข้อมูลดิบ — และโปรดอย่าแนบไฟล์ข้อมูลดิบ

หลังจากส่งรายงานแล้ว โปรดลบสำเนาทั้งหมดภายใน 7 วันปฏิทิน และส่งอีเมลแถลงการณ์การลบข้อมูลที่ลงนามแล้ว โดยระบุขอบเขตของข้อมูลที่ลบ วันที่และเวลาที่ลบ วิธีการลบ และยืนยันว่าครอบคลุมทุกตำแหน่งจัดเก็บที่ระบุใน กฎการปฏิบัติในการทดสอบและการจัดการข้อมูล แล้ว แถลงการณ์นี้เป็นเงื่อนไขเบื้องต้นในการรับรางวัล

แถลงการณ์สามารถใช้ชื่อหรือชื่อแฝงที่คุณใช้ในการรายงานได้ ไม่จำเป็นต้องมีหลักฐานยืนยันตัวตนอื่น หากนโยบายขององค์กรคุณไม่อนุญาตให้ลงนามในนามส่วนตัว บุคคลติดต่อขององค์กรสามารถออกแถลงการณ์แทนคุณ หรือคุณสามารถตอบกลับทางอีเมลเพื่อยืนยันแต่ละรายการ หากไม่ได้ส่งแถลงการณ์ภายในเวลาที่กำหนด เราจะส่งอีเมลแจ้งเตือนก่อน และระงับการประเมินรางวัลของกรณีนั้นชั่วคราว

การอธิบายขอบเขตการเข้าถึงของคุณอย่างถูกต้องจะไม่กระทบต่อสิทธิ์ในการรับรางวัลของคุณ ตรงกันข้าม จะช่วยให้ QNAP ประเมินผลกระทบได้อย่างแม่นยำและดำเนินมาตรการที่จำเป็น

สมัครรับข้อมูลคำแนะนำด้านความปลอดภัย

เราแนะนำให้สมัครรับข้อมูล QNAP Security Advisories เพื่อรับข้อมูลด้านความปลอดภัยก่อนใคร!

สมัครตอนนี้วิธีอ่านคำแนะนำด้านความปลอดภัย

อัปเดตล่าสุด: 2026/08/31 ข้อกำหนดของโปรแกรมนี้อาจมีการปรับเปลี่ยนเป็นครั้งคราว โดยให้ยึดตามเวอร์ชันล่าสุดที่เผยแพร่บนหน้านี้

เลือกสเปค

      ดูเพิ่มเติม น้อยลง
      เลือกประเทศหรือภูมิภาคของคุณ
      back to top