Proton 버그 바운티 프로그램

교차 사이트 스크립팅

혼합 콘텐츠 스크립트

교차 사이트 요청 위조

인증 또는 권한 부여 결함

서버 측 코드 실행 버그

REST API 취약점

Proton 앱을 통한 원격 코드 실행

로컬 데이터, 자격 증명 또는 키체인 정보 유출

인증 및 권한 부여 취약점

안전하지 않은 업데이트 또는 코드 서명 메커니즘

로컬 권한 상승 취약점

모바일 로컬 데이터 보안 침해

인증 또는 권한 부여 결함

서버 측 코드 실행 버그

권한 상승

SMTP 익스플로잇(예: 오픈 릴레이)

승인되지 않은 셸 접근

승인되지 않은 API 접근

전제 조건: 악용이 취약점 자체 이외의 추가 요구 사항에 따라 달라지는지 여부, 예:

• 일반적이지 않은 사용자 설정 – 비정형적인 사용자 구성 또는 설정에 의존합니다.
• 비기본 구성 – Proton 소프트웨어를 비표준 방식으로 설정해야 합니다.
• 악용 신뢰성 – 성공이 일관되지 않음, 예: 경쟁 조건, 낮은 RCE 성공률로 인한 비결정적 성공.
• 로컬 기기 상태 – 상승된 권한, 탈옥/루팅된 기기 및/또는 물리적 접근이 필요합니다.
• 환경 또는 네트워크 조건 – 드물거나 가능성이 낮은 외부 조건에 따라 달라집니다.

영향 범위: 당사 서비스의 기밀성, 무결성 또는 가용성이 영향을 받을 수 있는 정도.

익스플로잇 체인 가치: 문제가 더 광범위한 취약점 체인에 기여할 수 있는지 여부.

악용 가능성: 실제 공격에서 문제가 사용될 수 있는 가능성.

참신성: 문제가 새로운지, 이전에 보고되었는지 또는 이미 공개되었는지 여부. 최초의 유효한 제출물만 자격이 있습니다.

제출 품질: 재현 가능한 개념 증명 또는 영향을 보여주는 명확한 경로를 포함해야 합니다. 코드 또는 의사 코드를 강력히 선호합니다.

최대 보상: 미화 100,000달러

치명적인 심각도: 미화 25,000달러 - 미화 50,000달러

특별한 조건이나 사전 접근 없이 서비스 환경에 대한 완전하고 지속적인 무단 제어를 허용하거나 모든 사용자 데이터의 기밀성 또는 무결성을 손상시키는 취약점 발견.

높은 심각도: 미화 2,500달러 - 미화 25,000달러

서비스 환경의 상당 부분에 대한 지속적인 무단 제어로 이어지거나, 특별한 조건이나 사전 접근 없이 광범위한 사용자 그룹에 영향을 미치는 데이터 기밀성 또는 무결성의 중대한 침해로 이어지지만, 완전한 서비스 손상에는 미치지 못하는 취약점 발견.

중간 심각도: 미화 1,000달러 - 미화 2,500달러

서비스 환경의 일부에 대한 무단 제어를 허용하거나 단일 사용자 또는 소규모 그룹의 사용자 데이터 무결성 또는 기밀성을 손상시키는 취약점 발견. 또는 상당한 사용자 상호 작용이나 특정 조건이 필요하지만 여전히 민감한 데이터나 제어 장치의 노출로 이어지는 더 넓은 영향을 미치는 취약점.