Как сообщить огромной компании о наличии уязвимости?

Question

[3g0lex]

Есть уязвимость очень похожая на:
"Изменять api-запросы к amazon таким образом, чтобы товары доставлялись бесплатно. Запросы к api менять даже не обязательно, можно пошаманить с GUI".

Есть proof of concept, уязвимость заэксплойтена на 7$ в исследовательских целях.

У компании есть программа bug bounty на hackerone.com, но публиковать там свой отчет я не могу, ибо только что зарегистрировался и не обладаю достаточным рейтингом для отправки своего отчета в эту компанию.

Общение со службой поддержки через электронную почту оказалось удивительным сюрпризом, ибо общается со мной бот :)

Сходил в Питерский офис этой компании, сути не рассказал, сказал что просто так можно делать. Все вместе посмеялись над тем, какой я бородатый. Обещали передать информацию в Московский офис, а они типа не при делах. Никто не пишет, не звонит.

Думаю, как поступить дальше.

Просто в ярости постить не буду из уважения к работе коллег.

Лучшее, что приходит на ум - отправить DHLом письмо, с просьбой связаться в головной офис компании в Калифорнии. По идее, должны ответить.

Answer 1

[3g0lex]

quora.com/How-can-I-disclose-huge-security...

Bill Woodcock, Executive Director at Packet Clearing House (1994-present)

Responsible disclosure dictates that you inform the company (in writing, cc’d to their general counsel and compliance manager, being very clear that you’ve presented all the information you possess, that you’re not asking them to give you anything, that you did not come by the information illicitly, and that the communication is the last and only involvement you want to have in their problem) and simultaneously inform whatever CERT you’re a constituent of. Make sure the company and the CERT are both aware that you’ve informed each other.

At that point, it’s up to them to do the right thing, and the CERT to hold them to it and move along to public disclosure on a reasonable timeframe.

Yes, all CERTs talk to each other. If you’re unclear on any of the above, you’re welcome to contact me directly, and I can help you raise the ticket with your local CERT, since they’ll be my colleagues.

Answer 2

[АртемЪ]

Как сообщить огромной компании о наличии уязвимости?

Судя по вашему рассказу, вы уже сообщили.
Непонятно в чем вопрос.

Comments

[3g0lex]

сути не рассказал

заклеймить хочу bounty - раз.
принципиально хочу довести вопрос до логического завершения - два.
а чего все такие циничные? не думаю, что если бы это была Ваша компания, где был бы найден такой огрех, то Вас сильно бы порадовал слив информации о нем.
не хочу заниматься маркетингом имиджа it-специалиста - анархиста,
но хочу +1 в пользу ethical hacking. это было три.

[АртемЪ]

3g0lex, Ну компании вы сообщили, если верить вашим словам.
Что еще надо?
Про какое логическое завершение идет речь?
Или вы считаете что компания обязана отреагировать на ваше сообщение?
Так вот - она не обязана, это ее внутреннее дело.

Answer 3

[Владимир Дубровин]

Обратитесь в какой-нибудь из соц. сетей с добавлением хештега компании и указанием вашего логина на h1 с просьбой временно снизить уровень signal или заинвайтить вас в программу, чтобы вы могли принять в ней участие.

Если компания из Mail.Ru Group - напишите логин/координаты для связи мне, я передам, или можете зарепортить в https://hackerone.com/mailru с описанием ситуации, в этой баг баунти программе нет ограничений по сигналу.

Answer 4

[sim3x]

Забить
Найти тусовку ксакепов - попросить их запостить репорт от их имени

Относиться к жизни проще - всех багов не исправить, а бегать так по всем компаниям - времени не хватит

Answer 5

[Konstantin Malyarov]

Решение проблемы:
1. Снимаем сервер в стране, где всем пофиг что вы на нем делаете и проводим атаку с применением. Это урок для компании (потеряют 100'000 прибыли их косяк), но к вам начнутся претензии.
2. Атакуем по уязвимости так, чтоб они этого не ощущали, но первый же аудит это выявит. Так сказать получите вознаграждение, путем использования уязвимости.
3. Офис Мск? Можно попробовать.
4. Если 3 п. не получится. Вброс на Хабре и прочих ресурсах.

Comments

[sim3x]

Хорошее начало для блек хета
Отвратительное - для вайт хета