Ασφάλεια

Αναφορά ευπάθειας

Αν πιστεύετε ότι έχετε βρει ευπάθεια ασφαλείας στο Omarchy, αναφέρετέ την ιδιωτικά στην Ομάδα Ασφαλείας του Omarchy μέσω του προγράμματός μας στο HackerOne, ώστε να έχουμε την ευκαιρία να τη διερευνήσουμε και να τη διορθώσουμε πριν δημοσιοποιηθεί. Οι επιβεβαιωμένες ευπάθειες δικαιούνται αμοιβές που καταβάλλονται μέσω του HackerOne.

hackerone.com/omarchy

Μην αναφέρεις πιθανές ευπάθειες δημόσια σε GitHub Issues, Discord ή κοινωνικά δίκτυα πριν επιλυθούν.

Τι είναι ευπάθεια;

Θεωρούμε ένα σφάλμα ευπάθεια ασφάλειας όταν μπορεί να αξιοποιηθεί για υπέρβαση ουσιαστικού ορίου ασφάλειας: ένας μη έμπιστος ή λιγότερο προνομιούχος αποκτά πρόσβαση, δικαιώματα ή έλεγχο που δεν είχε.

Κώδικας που θα μπορούσε να γίνει ανθεκτικότερος, αλλά δεν υπερβαίνει όριο ασφάλειας, αποτελεί βελτίωση και όχι ευπάθεια. Μπορεί πάντως να δεχτούμε τη διόρθωση και να αναφέρουμε τον συντάκτη στις σημειώσεις έκδοσης.

Η αναφορά στη σελίδα συντελεστών ασφάλειας εξαρτάται από το αν εντοπίστηκε επιβεβαιωμένη ευπάθεια, όχι από τη σοβαρότητά της.

Τι να συμπεριλάβεις

Δώσε αρκετές πληροφορίες για να κατανοήσουμε και να αναπαράγουμε το πρόβλημα:

Το επηρεαζόμενο στοιχείο και την έκδοση Omarchy.
Εξήγηση του τι μπορεί να κάνει ο επιτιθέμενος πριν και μετά την εκμετάλλευση.
Βήματα αναπαραγωγής και τυχόν αποδεικτικό παράδειγμα.
Τα στοιχεία επικοινωνίας που προτιμάς για τη συνέχεια.

Υπεύθυνη γνωστοποίηση

Ενέργησε καλόπιστα κατά την έρευνα και την αναφορά ευπαθειών:

Δοκίμαζε μόνο συστήματα και λογαριασμούς που σου ανήκουν ή για τους οποίους έχεις ρητή άδεια.
Απόφυγε παραβιάσεις ιδιωτικότητας, διακοπές, καταστροφή δεδομένων και υποβάθμιση υπηρεσιών.
Μην εκμεταλλεύεσαι την ευπάθεια πέρα από όσο χρειάζεται για να την αποδείξεις.
Δώσε μας εύλογη ευκαιρία διερεύνησης και αντιμετώπισης πριν δημοσιεύσεις λεπτομέρειες.

Θα εξετάσουμε την αναφορά και θα σε ενημερώνουμε όσο μπορούμε μέχρι τη λύση.

Ευχαριστίες

Οι ερευνητές που αναφέρουν ιδιωτικά επιβεβαιωμένη ευπάθεια και μας δίνουν χρόνο να διαθέσουμε διόρθωση αναγνωρίζονται στη σελίδα συντελεστών ασφάλειας. Αποδεκτές βελτιώσεις που δεν υπερβαίνουν όριο ασφάλειας μπορεί επίσης να αναφέρονται στις σημειώσεις έκδοσης.

Οι αναφορές συνδέονται με το προφίλ X του ερευνητή και δείχνουν το avatar του. Σε διπλές αναφορές, αναγνωρίζεται μόνο ο πρώτος.

Συνηθισμένα σφάλματα και υποστήριξη

Για οτιδήποτε δεν είναι ευπάθεια ασφάλειας, χρησιμοποίησε το σύστημα αναφοράς προβλημάτων Omarchy.

Αναφορά μέσω email

Αν προτιμάτε να μη δημιουργήσετε λογαριασμό HackerOne, μπορείτε επίσης να στείλετε την αναφορά σας με email στο security@omarchy.org.