[Önemli Güvenlik Uyarısı] Sahte Qfinder Pro Web Siteleri Tespit Edildi. Daha fazla bilgi edinin >
Search

Security Bounty Programı

QNAP, siber güvenliğe kendini adamıştır ve QNAP ürünlerinin güvenliğini sağlamak için iş ortakları ve güvenlik topluluğu ile birlikte çalışır; böylece kullanıcılara daha fazla gönül rahatlığı sunar ve ürün sistemlerini ve verilerini korur. Potansiyel güvenlik sorunlarını keşfeden ve müşteri güvenliğini artırmaya yardımcı olan araştırmacılara teşekkür etmek için QNAP, Security Bounty Programı aracılığıyla ödüller sunar.

Teşekkürler

Programın Kapsamı

Bounty Programı yalnızca QNAP ürünleri ve çevrimiçi hizmetleriyle ilgili güvenlik açığı raporlarını kabul eder. Bu Programın kapsamı dışında kalan herhangi bir güvenlik raporu bu Program kapsamında kabul edilmez ve ödül almaya uygun değildir. Bu Program, üçüncü taraf yazılımlarda (ör. üçüncü taraf QPKG’ler) bulunan güvenlik açıklarını kabul etmez veya ödüllendirmez. Bu tür yazılımlarda bir güvenlik sorunu keşfederseniz, lütfen ilgili satıcı veya geliştiriciyle doğrudan iletişime geçin ve bildirin. Bu Programın ödül kapsamı dışında kalan ancak QNAP ürün veya hizmetleriyle ilgili diğer güvenlik sorunları için, bunların nasıl bildirileceği konusunda Koordine Edilmiş Güvenlik Açığı İfşa Politikası adresine bakın.

  • İşletim Sistemleri

    20.000 ABD Doları’na kadar ödül

    QNAP tarafından geliştirilen işletim sistemleri — QTS, QuTS hero ve QuTScloud — bu Program kapsamında yer almaktadır.

  • Uygulamalar

    10.000 ABD Doları’na kadar ödül

    QNAP tarafından resmi olarak geliştirilen uygulamalar.

  • Bulut Hizmetleri

    5.000 ABD Doları’na kadar ödül

    QNAP tarafından resmi olarak sağlanan bulut hizmetleri.

Güvenlik Sorunları ve Açıkları Nasıl Bildirilir?

Lütfen e-postanızı aşağıdaki PGP açık anahtarı ile şifreleyin ve security@qnap.com adresine gönderin. QNAP PSIRT, başvuruyu onaylamak için araştırmacı ile proaktif olarak iletişime geçecektir.

Önerilen Güvenlik Açığı Raporu Formatı

  • İşletim Sistemleri

  • Uygulamalar

  • Bulut Hizmetleri

PGP şifreleme anahtarı

Güvenlik Açığı Bildir

Uygunluk Kriterleri

  • Güvenlik açığını bildiren ilk araştırmacı olmalısınız.

  • Güvenlik açığını kamuya açıklamadınız.

  • Bildirdiğiniz güvenlik açığı, QNAP personeli tarafından doğrulanabilir, tekrarlanabilir ve ödül almaya uygun olarak onaylanmıştır.

  • Ödül Programı kuralları'ye tamamen katılıyor ve uyuyorsunuz.

  • Araştırmanız sırasında QNAP veya kullanıcılarına ait kamuya açık olmayan verilere eriştiyseniz, bu verileri Test Davranışı ve Veri İşleme Kuralları uyarınca sildiniz ve gerekli süre içinde yazılı bir silme beyanı sundunuz.

Ödül tutarları aşağıdakilere bağlı olarak ayarlanabilir:

Bonus faktörler

  • Önerilen güvenlik açığı raporu formatını izleyin: Lütfen gerekli ve yeterli güvenlik açığı bilgisini sağlayın. Önerilen formatlar: İşletim Sistemi format örneği, Uygulama format örneği, Bulut Servisi format örneği.

  • Yeniden üretim adımları: Açık ve ayrıntılı yeniden üretim adımları.

  • Sorun açıklaması: Paragrafları net bir şekilde yapılandırılmış, iyi düzenlenmiş bir güvenlik açığı raporu.

  • Ek bilgiler: Güvenlik açığı raporu formatı örneklerinde önerilen maddeler veya test kodu, betikler ya da diğer ayrıntılı açıklamalar gibi başka faydalı bilgiler.

  • Tam ham exploit payload'unu metin biçiminde sağlayın: Payload yalnızca görsel olarak sağlanırsa, QNAP PSIRT ekibi bunun doğru şekilde yeniden üretilebileceğini garanti edemez. Geçerli bir saldırı yeniden üretilemezse, güvenlik açığı tespiti geçersiz sayılabilir.

Ayarlama faktörleri

  • Sorun önemi ve inceleme sırası: QNAP PSIRT, doğrulama ve düzeltme önceliğini sorun önemine göre belirler ve kullanıcı verileri ile sistemler üzerinde önemli etkisi olan sorunlara öncelik verir. Sorun önemi, Bounty Komitesi tarafından CVSS v3.1 puanı, gerçek dünyadaki istismar edilebilirlik ve etki kapsamı dikkate alınarak belirlenir. Düşük öneme sahip olarak derecelendirilen sorunlar, yüksek öneme sahip sorunlardan sonra incelenecektir. Destek süresi devam eden ürünleri etkileyen ve doğrulanan tüm sorunlar, önem derecesine bakılmaksızın QNAP'ın düzeltme takvimine dahil edilecektir.

  • Ödül miktarı önem derecesine göre: Ödüller, soruna atanan önem derecesine göre verilir. Düşük öneme sahip olarak derecelendirilen sorunlar için ödüller buna göre ayarlanır ve aynı kapsamda yüksek öneme sahip sorunlara göre daha düşük olur. Her kapsam için yayınlanan miktar, o kapsam için maksimum miktardır; her vaka için garanti edilen bir miktar değildir.

  • Eğer bir sorun düşük öneme sahip olarak derecelendirilmişse ve yalnızca gerçek bir zarara yol açmayan bir güvenlik iyileştirme önerisiyse (ör. yapılandırma önerileri, sürüm veya yol bilgisinin ifşası, en iyi uygulama hatırlatmaları) ve doğrulama bunun gerçekten zarara yol açacak şekilde istismar edilebileceğini gösteremiyorsa, ödül verilmeyecektir. Ancak, bu yine de geçerli bir sorun olarak kabul edilir ve sizi kamuya açık teşekkürlerimizde yine de dahil edeceğiz. Bu durum, "ödül için uygun değil" (kabul edilmedi ve tanınmadı) durumundan farklıdır; ikisi arasındaki temel fark, doğrulanabilir gerçek yürütme sonuçlarının sağlanıp sağlanmadığıdır. Ödül için uygun olmayan belirli durumlar için her kapsamın "Notlar" bölümüne bakınız.

  • Çift ve aynı kökene sahip sorunlar: Birden fazla raporun aynı temel nedenden veya aynı kod yolundan kaynaklandığı ya da aynı düzeltmeyle çözülebileceği doğrulanırsa, QNAP PSIRT bunları tek bir vaka olarak değerlendirebilir. Birleştirilen bir vaka için ödül, vakanın ait olduğu derece için tek bir miktarla sınırlıdır ve rapor sayısına göre birikmez; ödül, alınan ilk eksiksiz rapora verilir.

  • Aynı sorun türünün sonraki raporları: QNAP tarafından zaten kabul edilmiş veya düzeltilmiş bir sorun türünün sonraki raporları (farklı arayüz, parametre veya modüllerdeki aynı türdeki sorunlar dahil) mevcut vakanın bir varyantı olarak değerlendirilebilir. Bu tür raporlar yine de ayrı ayrı geçerli sorunlar olarak tanınır ve ayrı ayrı CVE kimlikleri atanır; ödüller ise sorun sınıfı genelinde verilir: aynı sorun sınıfındaki 1. ila 10. raporlar kendi dereceleri için tam miktarı alır; 11. rapordan itibaren ise derece miktarının %10'u verilir. Sayım, tüm raporlayanlar arasında kümülatiftir ve ayrı bir sayım dönemi yoktur. "Aynı sorun sınıfı", aynı CWE sınıflandırması ile aynı işlevsel bileşen veya aynı kod deseniyle belirlenir. QNAP PSIRT, güvenlik açığı doğrulama e-postasında size varyant belirlemesini ve o sorun sınıfı için mevcut kümülatif sıra numarasını bildirecektir. Kabul etmiyorsanız, e-postayı aldıktan sonra 14 takvim günü içinde bize yazabilirsiniz.

  • Raporun eksiksizliği ve tekrarlanabilirliği: Raporlayan kişinin sorunu bağımsız olarak tekrar doğrulamadığı veya yalnızca ham araç çıktısı sağlayıp gerçek etkiyi ve nasıl tekrarlanacağını açıklamadığı durumlarda, QNAP PSIRT raporlayandan ek bilgi talep edebilir. Ek bilgi sağlanana kadar, vaka eksiksiz bilgiye sahip vakalardan sonra incelenecektir.

  • Gerçek güvenlik etkisi: Yalnızca teorik olan, olağanüstü ön koşullar gerektiren veya kullanıcı verileri ve sistemleri üzerinde somut bir etkisi gösterilemeyen sorunlar için ödüller buna göre ayarlanacaktır.

Teşekkürler

Tüm araştırmacılara uzmanlıkları ve özverileri için teşekkür ederiz.

FAQ

Ödül mekanizması ve ödül miktarı, QNAP PSIRT üyelerinden oluşan Ödül Değerlendirme Ekibi tarafından, güvenlik açığından başarıyla yararlanmanın karmaşıklığı ve güvenlik açığının oluşturduğu tehdit (etkilenen kullanıcı ve sistemlerin yüzdesi dahil) gibi aşağıdaki faktörler göz önünde bulundurularak belirlenir.

Evet. Bir video, güvenlik açığından nasıl yararlanıldığını anlamayı kolaylaştırıyorsa, Ödül Komitesi buna göre ödülü artırabilir. Lütfen yazılı dokümantasyonun (ör. bir PoC dokümanı ve tam açıklama) gerekli olduğunu unutmayın, çünkü bu, güvenlik açığı ifşa sürecinin yönetilmesine yardımcı olur.

En azından, bir güvenlik açığı raporunda şunlar bulunmalıdır: etkilenen ürünün adı, sürümü ve yapı numarası veya bulut hizmetinin URL'si; güvenlik açığının potansiyel tehdidinin özeti; ve tercihen güvenlik açığının yeniden üretilmesini sağlayan bir video ile birlikte, ayrıntılı ve net yeniden üretme adımları.

Lütfen raporunuzu QNAP tarafından sağlanan PGP genel anahtarı ile şifreleyin ve security@qnap.com adresine gönderin. E-posta alındıktan sonra, sistem otomatik olarak bir teknik bilet numarası ile yanıt verecek ve araştırmacı bu numara ile inceleme sürecini takip edebilecektir.

QNAP PSIRT ekibi, başvurunun eksiksiz olup olmadığını doğrulamak için araştırmacıyla proaktif olarak iletişime geçecektir. Bilgiler eksiksizse ve ilk değerlendirmede yüksek önem derecesine sahip olduğu belirlenirse, araştırmacı, bilgilerin eksiksiz olduğu onaylandıktan sonra ilke olarak bir hafta içinde, rapora atanan CVE kimliği de dahil olmak üzere, QNAP PSIRT güvenlik açığı onay e-postası alacaktır.

Ödül teklifi, güvenlik açığı onay e-postasının gönderildiği tarihten dört hafta sonra e-posta ile iletilecektir. Araştırmacı teklifi kabul ederse, QNAP onay yanıtını aldıktan sonra ödemeyi on iki hafta içinde tamamlamayı bekler.

Doğrulama sırasında QNAP PSIRT her vakanın temel nedenini analiz eder. Birden fazla raporun aynı temel nedenden, aynı kod yolundan veya aynı tasarım deseninden kaynaklandığı doğrulanırsa, tek bir vaka olarak ele alınır ve ödül, alınan ilk eksiksiz rapora verilir; sonraki bir rapor ek güvenlik etkisi bilgisi sağlarsa, bunu yine de dikkate alırız. Her biri bağımsız bir düzeltme gerektiren aynı türdeki sorunlar ise ayrı ayrı tanınır ve ayrı CVE kimlikleri atanır; ödüller ise sorun sınıfı genelinde verilir, ilk 1 ila 10 rapor tam seviye ödül alır ve 11. rapordan itibaren seviye ödülünün %10'u verilir. Sayım tüm raporcular arasında kümülatiftir.

Evet. QNAP tüm araştırma yöntemlerine saygı duyar; bizim için önemli olan raporun kalitesidir. Hangi araçlar kullanılırsa kullanılsın, göndermeden önce sorunu kendiniz tekrar doğrulayın ve rapora yeniden üretim adımlarını ve gerçek güvenlik etkisini ekleyin. Sadece ham araç çıktısı içeren, doğrulanmamış veya etkisi açıklanmayan raporlar için sizden ek bilgi isteyebiliriz ve bu raporlar eksiksiz bilgi içeren vakalardan sonra incelenecektir. Gerçek güvenlik etkisi olmayan raporlar ödül almaya uygun değildir.

QNAP, kullanıcı verileri ve sistemleri üzerinde önemli etkisi olan sorunlara öncelik verir. Bu nedenle, düşük önem derecesine sahip sorunlar yüksek önem dereceli sorunlardan sonra doğrulanır ve yanıtlanır, ödüller ise önem seviyesine göre ayarlanır. Bu, sorunun ele alınma şeklini etkilemez — doğrulanan tüm sorunlar iyileştirme takvimine dahil edilir. Değerlendirmenin gerçek etkiyi yansıtmadığını düşünüyorsanız, etki değerlendirmesini artırabilecek bilgilerle, örneğin daha düşük ayrıcalık ön koşulları, daha geniş etkilenen sürüm aralığı veya sorunun diğer sorunlarla birleştirilerek tam bir saldırı zinciri oluşturabileceğine dair açıklama ile security@qnap.com adresine e-posta gönderin.

Sorununuz gerçek bir zarara yol açmayan bir güvenlik iyileştirme önerisiyse, yine de sizi kamuya açık teşekkür listemize dahil edeceğiz, ancak ödül verilmeyecektir.

Lütfen derhal daha fazla erişimi durdurun. Raporunuzun etki açıklamasında, ilgili tablo veya uç noktaların adlarını, alan adlarını ve kayıt sayısını belirtin ve gerekirse maskelemiş bir örnek ekleyin. Ham veri dosyalarını eklemenize gerek yoktur — ve lütfen eklemeyin.

Raporunuzu gönderdikten sonra, tüm kopyaları 7 takvim günü içinde silin ve silinen verilerin kapsamını, silme tarih ve saatini, silme yöntemini belirten ve Test Davranışı ve Veri İşleme Kuralları içinde listelenen tüm depolama konumlarının kapsandığını onaylayan imzalı yazılı bir silme beyanını e-posta ile gönderin. Bu beyan, ödül almak için ön koşuldur.

Beyan, raporlama sırasında kullandığınız isim veya araştırmacı takma adınızı içerebilir; başka bir kimlik kanıtı gerekmez. Kurumunuzun politikaları kişisel adınızla imzalamanıza izin vermiyorsa, kurumunuzdan bir irtibat kişisi sizin adınıza beyanı düzenleyebilir veya her maddeyi onaylayan bir e-posta ile yanıt verebilirsiniz. Beyan süresi içinde sağlanmazsa, önce e-posta ile bir hatırlatma göndeririz ve ödül değerlendirmesini askıya alırız.

Erişiminizin kapsamını doğru şekilde açıklamanız, ödül almaya uygunluğunuzu etkilemez; aksine, QNAP'in etkiyi doğru değerlendirmesine ve gerekli önlemleri almasına yardımcı olur.

Güvenlik Duyurusu Aboneliği

En güncel güvenlik bilgilerini almak için QNAP Güvenlik Duyurularına abone olmanızı öneririz!

Şimdi abone olunGüvenlik duyuruları nasıl okunur

Son güncelleme: 2026/08/31. Bu Programın şartları zaman zaman değiştirilebilir; bu sayfada yayınlanan en son sürüm geçerlidir.

Teknik Özellik sSçin

      Daha fazla göster Daha az
      Diğer ülkelerde/bölgelerde bu site:
      back to top