State F's leading IT giant, integrator, and internet and hosting provider.

## Scope
Outer perimeter: 10.124.0.64/26
Inner perimeter: 10.154.2.0/23

NetFusionPro

Hackerburg is famous for its metal industry. The Metal&Tech plant produces cast iron and high-quality steel used in construction and car manufacturing.

## Scope
Outer perimeter: 10.124.0.0/26
Inner perimeter: 10.154.0.0/23

Metal&Tech

<p>International cyberexercises in information security.<br>Top-notch researchers test how well the virtual State F's infrastructure is protected.</p>

Standoff 11

# Область действия программы
## Домены
app.konsol.pro, api.konsol.pro

# Правила вознаграждения
Мы оцениваем уязвимости в индивидуальном порядке с учетом VRT и нашей экспертизы. Уровень опасности уязвимости может быть понижен или повышен в зависимости от потенциального ущерба при проведении атаки. 

Принципал оставляет за собой право принимать окончательное решение в отношении опасности найденной уязвимости. 

Максимальные выплаты подразумеваются только за обнаружение проблем в сервисах, перечисленных в пункте «Область действия программы», то есть входящих в основную область действия программы. 
Все остальные ресурсы имеют пониженный (в некоторых случаях нулевой) коэффициент для назначения вознаграждения.

Уязвимости, за нахождение которых вознаграждение не выплачивается:
* Self-XSS, XSS в непопулярных или устаревших браузерах, Flash-based XSS.
* CSRF и XSS без воздействия на чувствительные данные.
* Отсутствие рекомендованных механизмов защиты* (например, HTTP-заголовков, флагов безопасности куки или защиты от CSRF).
* Ошибки в настройке CORS*.
* Использование устаревшего или потенциально уязвимого стороннего ПО*.
* Атаки, связанные с мошенничеством или кражей.
* Возможность неограниченной отправки SMS-сообщений и сообщений эл. почты.
* Атаки типа DoS*.
* Небезопасно сконфигурированные TLS или SSL*.
* Разглашение информации о существовании в системе имени пользователя, адреса эл. почты или номера телефона.
* Full Path Disclosure.
* Разглашение технической или нечувствительной информации* (например, версии продукта или используемого ПО, stack trace).
* Open redirect без дополнительного вектора атаки (например, кражи токена авторизации).
* Подмена контента на странице.
* Tabnabbing.
* Уязвимости, требующие выполнения сложного или маловероятного сценария взаимодействия с пользователем.
* Уязвимости, необходимым условием эксплуатации которых является наличие вредоносного ПО, root-прав или jailbreak на устройстве.
* Атаки, требующие MITM чужого соединения или физической близости с чужим устройством (например, атаки через NFC, Bluetooth, Wi-Fi и shoulder surfing).
* Маловероятные или теоретические атаки без доказательств возможности их проведения.
* Без детального описания вектора атаки и доказательств потенциального нанесения ущерба или вреда.

## Не рассматриваются отчеты, содержащие следующую информацию
* Сообщения об уязвимостях в сервисах, не относящихся к экосистеме Konsol.PRO.
* Проблемы, не связанные с безопасностью.
* Сообщения о возможных DDoS-атаках.
* Информация об IP-адресах, DNS-записях и открытых портах.
* Сообщения о применении фишинга и других техник социальной инженерии.
* Сообщения о публично доступных панелях входа.
* Разглашение публичной информации о пользователях.
* Сообщения о недостатках использования четырехсимвольных SMS-кодов.
* Сведения об обходе проверки на root и jailbreak.
* Сообщения о возможности обратной разработки мобильных приложений.
* Сообщения от сканеров безопасности и других средств автоматического сканирования.
* Сообщения об уязвимости без демонстрации ее реального существования.
* Сообщения об уязвимости без указания на достоверно возможные негативные последствия ее эксплуатации.
* Сообщения об отсутствии заголовков безопасности.
* Clickjacking отчеты, основанные на отсутствии HTTP-заголовков. Для рассмотрения Clickjacking отчета необходимо предоставить корректный PoC и сценарий атаки с описанием негативных последствий ее реализации.
* Сообщения об отсутствии лучших практик безопасности.
* Атаки, требующие MITM или физический доступ к устройству пользователя.
* Уязвимости, которые затрагивают только пользователей устаревших или уязвимых браузеров и платформ.
* Уязвимости, которыми можно навредить только самому себе.

# Правила тестирования
* Для проведения тестирования пользователям необходимо использовать собственные учетные записи либо учетные записи пользователей, которые явно выразили свое согласие на такие действия.
* Составляйте подробные отчеты с рабочими шагами для воспроизведения сценария атаки. Если отчет оформлен недостаточно подробно, чтобы воспроизвести проблему, пользователь может быть лишен права на получение вознаграждения.
* Чтобы подтвердить наличие уязвимости, необходимо представить минимально возможный POC (proof of concept). Если это может повлиять на других пользователей или же на работоспособность системы, свяжитесь с принципалом для получения разрешения.
Дальнейшая эксплуатация уязвимостей строго запрещена.
* Не проводите автоматизированный перебор, атаки типа «отказ в обслуживании» (DoS- и DDoS-атаки), не отправляйте спам нашим пользователям, не используйте методы социальной инженерии и фишинг, направленные на наших сотрудников и подрядчиков.
* Обращения в техподдержку и отправка любых форм, которые будут обработаны людьми, строго запрещены.
* В случае дубликата мы наградим только пользователя, приславшего первый отчет об уязвимости (если описанный им сценарий полностью воспроизводится).
* Решение известных нам проблем, находящихся в процессе исправления, не претендует на вознаграждение.
* Никому не сообщайте информацию о найденной уязвимости без нашего разрешения.
* Публичные 0-day-уязвимости с официальным патчем, выпущенным менее двух месяцев назад, могут рассматриваться как дубликаты, если они известны нашей команде из общедоступных источников.
* Во время поиска уязвимостей следует избегать нарушения конфиденциальности, целостности и доступности информации в сервисах принципала.
* Запрещена любая деятельность, которая может нанести ущерб приложениям компании, ее инфраструктуре, клиентам и партнерам. 

Примеры запрещенных действий: социальная инженерия, фишинг, атаки типа «отказ в обслуживании», физическое воздействие на инфраструктуру.

* Автоматическое сканирование должно быть ограничено пятью запросами в секунду.
* Во избежание классификации сгенерированного пользователем трафика как вредоносного и предотвращения связанных с этим проблем необходимо добавлять HTTP-заголовок ко всем исходящим запросам: X-Bug-Bounty: username.

## Политика тестирования RCE
Тестирование уязвимостей, которые могут приводить к удаленному исполнению кода, должно выполняться в соответствии с этой политикой. 

Во время тестирования запрещены любые действия на сервере, кроме:
* выполнения команд ifconfig (ipconfig), hostname, whoami;
* чтения содержимого файлов /etc/passwd и /proc/sys/kernel/hostname (drive:/boot.ini, drive:/install.ini);
* создания пустого файла в каталоге текущего пользователя.


При необходимости проведения иных действий необходимо предварительно согласовать их с Принципалом.

## Политика тестирования SQL-инъекций
Тестирование уязвимостей, которые могут приводить к внедрению команд SQL, должно выполняться в соответствии с этой политикой. 

Во время тестирования запрещены любые действия на сервере, кроме:
* получения данных о текущей БД (SELECT database()), ее версии (SELECT @@version), текущем пользователе (SELECT user(), SELECT system_user()) или имени узла (SELECT @@hostname);
* получения схемы БД (SELECT table_schema), списка таблиц в ней (SELECT table_name) и имен столбцов в таблицах (SELECT column_name);
* выполнения математических, конверсионных или логических запросов (включая использование SLEEP) без извлечения данных (кроме тех, что перечислены выше).


При необходимости проведения иных действий необходимо предварительно согласовать их с принципалом.

## Политика загрузки и чтения файлов
Тестирование уязвимостей, которые могут приводить к чтению произвольных файлов на сервере или произвольной загрузке файлов, должно выполняться в соответствии с этой политикой 
  Запрещенные действия при загрузке файлов:
* Изменение, модификация, удаление и замена любых файлов на сервере (включая системные), кроме тех, что ассоциированы с вашей учетной записью либо с учетной записью пользователя, который явно выразил свое согласие.
* Загрузка файлов, которые могут вызвать отказ в обслуживании (например, файлов большого размера).
* Загрузка вредоносных файлов (например, малвари или шпионского ПО).


При получении возможности чтения произвольных файлов на сервере запрещены любые действия, кроме чтения таких файлов, как /etc/passwd и /proc/sys/kernel/hostname (drive:/boot.ini, drive:/install.ini).


При необходимости проведения иных действий необходимо предварительно согласовать их c триажером.

## Требования к отчету
Один отчет должен описывать одну уязвимость. Исключения — те случаи, когда уязвимости либо связаны между собой, либо их можно скомбинировать в цепочку.


Отчет об уязвимости должен включать:
* Описание уязвимости.
* Шаги воспроизведения.
* Анализ опасности.
* Рекомендации по устранению.


В отчете также должны содержаться:
* URL уязвимого приложения.
* Тип обнаруженной уязвимости.
* Скриншоты или видеозапись, подтверждающие наличие уязвимости и демонстрирующие шаги ее воспроизведения.
* Пример форматированного запроса из Burp Suite (или любой другой PoC).
* Фрагменты кода (в некоторых случаях).

Консоль

Автоматизируем управление самозанятыми, ИП, физлицами. Помогаем средним и крупным компаниям сократить издержки и снизить риски сотрудничества с большим числом исполнителей.

Автоматизируем управление самозанятыми, ИП, физлицами. Помогаем средним и крупным компаниям сократить издержки и снизить риски сотрудничества с большим числом исполнителей

«Азбука вкуса» уделяет особое внимание безопасности, целостности и доступности своих данных и систем, а также своих клиентов, сотрудников и партнеров. Мы ценим работу исследователей в области безопасности, направленную на повышение безопасности наших продуктов и услуг и призываем сообщество принять участие в нашей программе по вознаграждению за найденные уязвимости.

**Отчеты автоматических сканеров уязвимостей (без проверки со стороны исследователя) рассматриваются вне области обнаружения.** 

## Время ответа 
Как правило, мы стараемся достичь следующего времени для ответа:
+ Время ответа (от момента получения информации) —  до 5 рабочих дней;
+ Время на обработку отчета (от момента получения всей информации по отчету) — до 10 рабочих дней;
+ Время на выплату вознаграждения (от момента обработки отчета) — до 20 рабочих дней.

Время ответа может быть увеличено во время национальных праздничных дней и выходных.

## Политика раскрытия информации
+	Необходимо придерживаться общих принципов ответственного раскрытия информации;
+	Не разглашать сведения об уязвимостях (даже если они уже исправлены) и не передавать сведения третьим лицам без явного согласия «Азбука вкуса»;
+	Не использовать обнаруженную уязвимость для своей собственной и/или иной выгоды, за исключением выгоды автора данной программы. Данное требование включает демонстрацию дополнительных рисков, попытка раскрыть конфиденциальные данные или найти другие уязвимости.

# Правила программы
## Основные правила 
+ Размер вознаграждения зависит от уровня опасности найденной уязвимости;
+	В случае дублирования отчетов, выплата вознаграждения будет осуществлена только за первый присланный отчёт (при условии, что уязвимость, описанная в отчете, может быть полностью воспроизведена);
+	Многочисленные отчёты или описанные в одном отчёте уязвимости, вызванные одной основной проблемой, будут вознаграждены одним вознаграждением. Одна и та же уязвимость, обнаруженная в нескольких доменах, будет рассматривать как одна уязвимость. Просим Вас сообщать обо всех затронутых уязвимостью доменах в рамках одного отчета. Все последующие отчеты будут закрыты как дубликаты;
+	Тестовые аккаунты могут быть предоставлены по запросу, в исключительных случаях;
+	Любые отчеты, не входящие в область обнаружения, будут приняты к сведению, но не будут вознаграждены;
+	Участниками данной программы не могут являться сотрудники компании «Азбука вкуса» (действующими или бывшими), а равно аффилированными с ними лицами.

## При поиске уязвимости и предоставлении отчета необходимо соблюдать следующие требования:
+	Предоставлять подробные отчеты с воспроизводимыми шагами, включая полные запросы, приводящие к эксплуатации уязвимости;
+	Просим Вас присылать по одной уязвимости в отчете, за исключением необходимости связать несколько уязвимостей для успешной эксплуатации атаки;
+	Не разглашать сведения об уязвимостях и не передавать сведения третьим лицам;
+	Не использовать инструменты тестирования уязвимостей, которые автоматически генерируют значительные объемы и/или частоту сетевого трафика;
+	Не осуществлять атаки, которые могут нанести вред надёжности и/или целостности служб/сервисов компании «Азбука вкуса» или данных (атаки типа «отказ в обслуживании» и другие);
+	Не открывать и/или не вносить изменения в учетные записи клиентов. Если необходимо, использовать свои собственные учетные записи для поиска уязвимостей;
+	Не осуществлять рассылку спама и атаки социальной инженерии на клиентов и сотрудников Компании, включая фишинг;
+	Не выполнять никаких физических атак;
+	Любая дальнейшая эксплуатация уязвимости после присланного отчета об этой уязвимости запрещена.

# Определение области обнаружения уязвимостей в рамках политики
## В область обнаружения уязвимостей входят:
+ Сервисы

Сервисы, расположенные на доменных именах: av.ru (и субдоменах), azbukavkusa.ru (и субдоменах);

Сервисы, расположенные на сетевых адресах: 195.19.210.0/24; 

Сервисы, доступные в беспроводных сетях Компании и сами беспроводные сети, принадлежащие компании «Азбука вкуса». 

+ Уязвимости 

Область обнаружения ограничена исключительно техническими уязвимостями в наших сервисах и веб-приложениях. Любая уязвимость дизайна или реализации, которая существенно влияет на конфиденциальность или целостность данных, вероятно, будет применима к настоящей политике.

Должны воспроизводятся в браузерах: Chrome, Firefox,Safari, Opera, Edge, Internet Explorer.

Браузеры должны быть обновлены до последней версии (последняя выпущенная стабильная версия) на момент отправления отчета. Уязвимости, которые требуют установки определённых сервисов, расширений и плагинов выходят за рамки области обнаружения уязвимостей. 

## В область обнаружения уязвимостей не входят:
+ Сервисы:

Все сервисы, не указанные в области обнаружения.

Если веб-страницы имеют перенаправление на другие доменные имена, то они выходят из области обнаружения.

+ Уязвимости:

CSRF-уязвимостях для некритичных действий (logout и другие);

Уязвимостях типа Self-XSS без демонстрации реального воздействия на безопасность пользователей или систем

Framing- и clickjacking-уязвимостях без документированной серии кликов, подтверждающей существование уязвимости; 

Отсутствии механизма безопасности / несоответствии лучшим практикам без демонстрации реального воздействия на безопасность пользователей или систем; 

Отсутствии SSL/TLS, использовании небезопасных шифров SSL/TLS; 

Google/Yandex API-ключи;

Атаках, требующих полного доступа к паролям, токенам, профилю браузера или локальной системе; 

Раскрытии некритичной информации (такой, как версия продукта, протокола и т.д.); 

Ошибках, которые не затрагивают последние версии современных браузеров и ошибках, связанных с расширениями браузеров; 

Уязвимостях, которые затрагивают только пользователей с определенными браузерами; 

Атаках, требующих чрезвычайно маловероятного пользовательского взаимодействия; 

Атаках типа «отказ в обслуживании» или уязвимостях, связанных с ограничением частоты запросов; 

Временных атаках, которые доказывают существование учетной записи пользователя и т.п.; 

Небезопасных настройках cookie (для некритичных cookie);

Ошибках в содержании / сервисах, которые не принадлежат или не управляются Компанией (сюда входят сторонние службы, работающие на субдоменах); 

Уязвимостях, которые Компания определяет, как уязвимости с приемлемым уровнем риска;

Скриптинге или другой автоматизации, переборе предполагаемой функциональности и параметров;

Отсутствие DMARC записи на поддоменах.

**Отчеты, содержащие информацию об уязвимостях нулевого дня в стороннем программном обеспечении, рассматриваются в индивидуальном порядке и не гарантируют выплату вознаграждения.**

## Требования к оформлению Отчета
Отчет об ошибке должен содержать подробное описание обнаруженной уязвимости, краткие шаги по ее воспроизведению или рабочее доказательство концепции (PoC). Видео и скриншоты могут иллюстрировать отчет об ошибке, но не могут его заменить.

В отчете необходимо отразить следующие основные разделы:

+ Название уязвимости.
+ Продукт и версия затрагиваемого ПО (компонента).
+ Рабочее доказательство концепции (PoC) или подробное описание шагов по воспроизведению обнаруженной проблемы безопасности.
+ Описание сценария атаки с указанием следующих основных аспектов: кто хочет использовать конкретную уязвимость, для какой выгоды, каким образом осуществляется реализация и другая дополнительная информация.
+ Рекомендации по устранению

# Дальнейшая эксплуатация уязвимости после присланного отчета об этой уязвимости

Вся дальнейшая эксплуатация уязвимости после присланного по ней отчета выходит из области обнаружения, за исключением минимума, необходимого для доказательства эксплуатации уязвимости.

В случае атаки RCE или инъекции Вы можете вводить команды с указанием версии базы данных, имени системы или локального IP-адреса.

Вся последующая эксплуатация уязвимости, которая приведет к дальнейшим уязвимостям и/или к риску нарушения стабильности или целостности систем, выходит за область обнаружения.

Азбука вкуса

«Азбука вкуса» уделяет особое внимание безопасности, целостности и доступности своих данных и систем, а также своих клиентов, сотрудников и партнеров. Мы ценим работу исследователей в области безопасности, направленную на повышение безопасности наших продуктов и услуг и призываем сообщество принять участие в нашей программе по вознаграждению за найденные уязвимости.

«Азбука вкуса» —  российская розничная компания, развивает сеть магазинов разных форматов в Москве, Московской области и Санкт-Петербурге, интернет-магазин av.ru, своё кулинарное производство и собственные торговые марки, фермерское хозяйство в Калужской области, ресторан «АВ Гранд-кафе». Занимает первое место среди продуктовых ритейлеров по товарообороту на квадратный метр, обладая ассортиментом свыше 18 тыс. SKU от 900 производителей и поставщиков из 70 стран мира, более тысячи SKU «Азбука вкуса» выпускает на собственном производстве. Работает в формате высококачественной розницы, Входит в 200 крупнейших частных компаний России по версии Forbes и в топ-100 работодателей России в рейтинге HeadHunter. На сегодняшний день общее количество магазинов составляет 172, из них: 104 супермаркета «Азбука вкуса», 60 минимаркетов «Азбука daily», 5 семейных крупноформатных супермаркетов «АВ маркет» и 3 специализированных «Энотеки».