Divulgação responsável
Na LeasePlan, consideramos que a segurança dos nossos sistemas é uma prioridade. No entanto, apesar do cuidado que temos em relação à segurança, sabemos que as vulnerabilidades continuarão a persistir. Se detetares vulnerabilidades, gostaríamos de ser notificados assim que possível, para que possamos tomar as medidas apropriadas para as corrigir rapidamente.
Tem em atenção que a nossa política de divulgação responsável não é um convite para investigar ativamente os nossos serviços de rede / internet ou para descobrir vulnerabilidades. Essas análises suscitam alertas junto da nossa equipa de segurança e podem levar a investigações de segurança (dispendiosas).
O que pedimos:
- Envia os teus alertas por e-mail para responsible-disclosure@leaseplan.com. Oculta as descobertas através de encriptação usando a nossa chave PGP para impedir que informações confidenciais caiam nas mãos erradas.
- Não tires proveito da vulnerabilidade ou problema que descobriste.
- Não reveles o problema a outras pessoas até que ele tenha sido resolvido.
- Não uses ataques à segurança física, engenharia social, negação de serviço distribuída (DDoS), Spam ou aplicações de terceiros.
- Fornece informações adequadas para reproduzir o problema, para que possamos resolvê-lo o mais rápido possível. Normalmente, o endereço IP ou o URL do sistema afetado e uma descrição da vulnerabilidade serão suficientes, embora mais informações possam ser necessárias para vulnerabilidades mais complexas.
O que prometemos fazer na LeasePlan Digital
- A nossa equipa de segurança digital confirmará o recebimento dentro de dois dias úteis.
- Responderemos ao teu incidente dentro de três dias úteis com a nossa avaliação do incidente e uma data prevista para a resolução.
- Trataremos sempre a tua notificação confidencialmente e nunca partilharemos os teus dados pessoais com terceiros, exceto quando obrigados por lei ou por decisão judicial.
- Serás informado do progresso na resolução do problema.
- Serás consultado sobre se e como o problema será tornado público. Nunca o faremos antes que o problema seja resolvido. Se tornarmos o problema público, serás nomeado por identificá-lo, mas apenas se o quiseres.
O que reportar
Por favor comunica:
- Ocorrência persistente de Cross Site Scripting (XSS)
- Cross Site Request Forgery (CSRF)
- Falha de autenticação \ Broken Authentication
- XML Injections (XXE)
- Remote Code Execution (RCE)
- SQL Injection (SQLi)
- Vulnerabilidades relacionadas com encriptação com exploit POC
- Authentication Bypass (Acesso não autorizado a dados sensíveis)
- Cross Tenant Data Leak
- Directory Traversal
- Falha de configuração de segurança com impacto severo. Estas serão avaliados caso a caso.
Por favor * não * comuniquem:
Qualquer tipo de ataque de negação de serviço (Brute Force attacks)
o Username Dictionary Attack
o OTP ou MFA Brute Force sendo que estes são maioritariamente fornecidos por terceiras partes
o Esquecimento de senha para bloqueio de conta
Missing Rate Limiting Protection
Relacionadas com Cookies:
o Marca “Secure” omissa no cookie
o Marca “HTTPOnly” omissa no cookie
Social Engineering & Hacking
Self-XSS
Páginas de login publicamente acessíveis para CMS/Administrative area
Vulnerabilidade de negação de serviço (DOS/DDOS)
Relacionadas com cabeçalhos de segurança, tais como, mas não limitadas a:
o HTTP Strict Transport Security (HSTS)
o Public Key Pinning (HPKP)
o X-XSS-Protection
o X-Content-Options
o X-Content-Security-Policy (CSP)
o X-Webkit-CSP
HTTP Header Methods:
o HTTP Trace method ativado
o Exceção a métodos de cabeçalho OPTIONS, PUT, DELETE; (Apenas com exploit em curso)
Host Header Injection
Clickjacking e vetores de ataque exploráveis relacionados
Fingerprinting:
o Banner Grabbing
o Revelação de versão de serviços públicos
Cross-Site Request Forgery (CSRF) em formulários disponíveis publicamente para utilizador anónimo:
o Formulário de contacto
o Formulário de Login
Atributo Autocomplete desativado
•Vulnerabilidades SSL/TLS relacionadas com configuração sem Exploit em curso:
o Informação de versão
o Cifras fracas
o SSL Forward Secrecy não ativada
o Ataques SSL que não sejam exploráveis remotamente
Relacionado com o E-mail:
o SPF
o DKIM
o DMARC
Relacionado com o DNS e Infraestrutura:
o Domínios expirados ou inativos
o DNSSEC omisso
o Localhost DNS record
Divulgação de ficheiros públicos ou não sensíveis tais como robots.txt
Páginas de erro Http 404
Same Site Scripting
Como reportar
Descreve o problema encontrado tão explícita e detalhadamente quanto possível e inclui qualquer evidência que possas ter. Podes ter em consideração que a notificação será recebida por especialistas em segurança, designadamente a equipa de segurança LeasePlan. Envia os relatórios em inglês. Recomendamos também que envies o e-mail ocultado por encriptação. Por favor, usa a chave PGP localizada no fundo desta página.
Inclui os seguintes dados no teu email de divulgação:
- Qual (tipo) vulnerabilidade
- Etapas tomadas para reproduzir a ocorrência
- URL completo e Payload
- Screenshots
Recompensas
A LeasePlan agradece o teu empenho em ajudar-nos a otimizar os nossos sistemas e processos. Portanto, na maioria das circunstâncias, serás elegível a um prémio adequado. Mantemos reserva sobre a decisão final relativamente ao prémio, seja um prémio monetário, seja a sua quantidade ou valor - é uma decisão que fica inteiramente ao nosso critério.
Não iremos recompensar se:
- O problema já foi reportado. Nesse caso, apenas o primeiro a reportar será recompensado.
- Se resides num país que está na lista de sanções.
- O problema já é conhecido.
- As regras não são respeitadas.
Privacidade
Para dar seguimento iremos pedir-te detalhes de contacto (nome, e-mail, chave PGP e opcionalmente um número de telefone) a não ser que optes por reportar anonimamente.
As tuas informações pessoais são usadas apenas para te contactar e tomar medidas em relação à vulnerabilidade que reportaste. Não distribuiremos os teus dados pessoais a terceiros sem a tua permissão. A menos que a lei exija que forneçamos os teus dados pessoais ou quando uma organização externa assume a investigação da vulnerabilidade reportada. Nesse caso, garantiremos que a autoridade aplicável trata os teus dados pessoais confidencialmente. Permaneceremos responsáveis pelos teus dados pessoais.
Envia-nos um email com as tuas conclusões
Oculta os dados através de encriptação usando a nossa chave PGP para impedir que informações confidenciais caiam nas mãos erradas.
-----BEGIN PGP PUBLIC KEY BLOCK----- Comment: User-ID:LeasePlan <responsible-disclosure@leaseplan.com> Comment: Created:6/3/2019 1:42 PM Comment: Expires:6/3/2021 12:00 PM Comment: Type:2048-bit RSA (secret key available) Comment: Usage:Signing, Encryption, Certifying User-IDs Comment: Fingerprint:6BDC829FEABC7782CB8E4722312FF80AB00549E7
mQENBFz1B7ABCAC/p7phmRYxpkQvFLsR0XuvdoQlmuh48V5hLqknXzhXHu1GjUn3 qIsCmm++1F94DQ2t8XSJTCAEHbDLdHdXf69cJLr4MqZKvKPHpnK89thuQOEV5WuO kywy3db4JNerGA04HH7VSuKhljC5KCYoF2UIVaMepCGXHTmVu51nh0h5aSkZlkjV eTXlcjvmgdgBnLt2+DAkC/Wn6VeSTl1/0vOVcuOapcG2z9hUV8C85g8WHtAZf5Rj rYuLIs1t7+x2ZFAHb12I6eK4zgnO1x40e1aVoKqR040JK6SXRY7Z9k7kpxrjL3ah 6KRL2dhmG8DVAoN6bKMq5mtPe8qhJ2uD4e1LABEBAAG0MExlYXNlUGxhbiA8cmVz cG9uc2libGUtZGlzY2xvc3VyZUBsZWFzZXBsYW4uY29tPokBVAQTAQgAPhYhBGvc gp/qvHeCy45HIjEv+AqwBUnnBQJc9QewAhsDBQkDw6BwBQsJCAcCBhUKCQgLAgQW AgMBAh4BAheAAAoJEDEv+AqwBUnnZ9UH/Rc75f2jrCfWXUYPEX7A26tRNqLP5Xp+ 8SDVwLgRPZD6oa3LzfWuPU/cYGMPUcZHN1lyQM9V3CGA+3MnH4w6DTPkjnxv78sg yequ10B+0P8PrZVzUCDXxiK8q/Trwjtqidbo8/S9h/CwD6k+u7B/6rCkiYztoTZw aR7WcUZrF3Hp/Q2FFVR0WftK4ur8+4ZF/x2svhiosV0wJ+yaIAxnBBfMMMwteAh3 jmqmHBC+dUHB2DfkcG7YzJvYu4/4AdlUkjgB3EJFDlHWZaZ6Qg2A58MKwt3YLOBF zet7baFIgaRi1oaohpHS46eEMFifomGY3fYcwtlvcMt14Jh7A+2ns+e5AQ0EXPUH sAEIAMxYAUT5xVJucRDSHkylfJjvvIUdE4v0qVM3/WeNe5UlxYwJO18DJsOAIXXX wA3D2Z0LM59uDt2UEI5mBKv79Cp+dZsZx2nxnmvDs6eNe5CYMatu5EFeYH0He98a VVsBoNtSlTehcsFEcg79GUimY+Be394HAwwKVDQ0WGmp8lur3UAXy+B1PW5oNb5Y Z4N5UWKFxQPZHbZ65+qUtPZGYV3PdNnlRhqJw6RxfiXpQ4GPAWvHls1yZPJ4N9y3 W04CVQLGK4PBELR6kLmUzvsBT6W5Dq+AowOvF5LmBMS1bsKMLBmx6G1iF3bmQTaZ h5KWri2H/xuKXMqqLHd05yv3RZMAEQEAAYkBPAQYAQgAJhYhBGvcgp/qvHeCy45H IjEv+AqwBUnnBQJc9QewAhsMBQkDw6BwAAoJEDEv+AqwBUnnctsIAKp8WZwYOLmX rY70kFveZwkfb4Fd650XCLEj6SkFECwUzeGn0Lr1KI1yb0YyLoDds4MdWI3TuSGC MnFP2g0Mmw/+cXXKR6QDTAuH/FFDRqVo8vrl5OJe/RknTKsgqslD0H3q64dlXxtB XF+ymRjm40qITrc8HXS2QFe73JDyu9+ulyZf4AvFXY4WkDyql/M3a2DI0XyhbrN2 NsmAwk4+eS/yyoHuR1PQJgRs1YjVIvYILyU7DZ94KanRUtBW7uo89Zg9Uek0VZbi 78lw5XG1wOOMBovNLFdMgBq/o0bRJPldObBKrq8/b0rhXmcfjM5VDCQJlu+l0n3H YEsObegLMBQ= =SfxF -----END PGP PUBLIC KEY BLOCK-----
