漏洞奖励计划

• ¥15000

  严重

• 8000

  高危

• 2000

  中危

• 500

  低危

简介

openEuler漏洞奖励计划于2020年12月1日上线试运行。

openEuler（www.openeuler.org）通过社区合作，打造创新平台，构建支持多处理架构、统一和开放的操作系统，推动软硬件应用生态繁荣发展。

openEuler社区非常重视社区版本的安全性，openEuler安全委员会负责接收、调查和披露openEuler社区相关的安全漏洞。openEuler社区鼓励漏洞研究人员和行业组织主动将openEuler社区的疑似安全漏洞通过加密邮件方式（openeuler-security@openeuler.org, PGP公钥）报告给openEuler安全委员会。openEuler安全委员会会快速地响应、分析和解决上报的安全问题或安全漏洞。

openEuler社区声明：

1. 在漏洞未修复前，我们希望您不要公开和传播。我们承诺：对每一份报告，都会有专门的安全人员进行评审、跟进并及时反馈最新的处理结果，并且我们会按照“漏洞奖励方案”对您的付出表示感谢。

2. 我们鼓励采用合法合规的方式测试漏洞。对于利用漏洞损害用户利益、影响业务运营、盗取用户数据、恶意传播漏洞或数据等涉嫌违反法律、行政法规规定或违反openEuler社区管理规定、网站协议等的违法行为，openEuler社区均将保留追究法律责任的权利。

3. openEuler社区委托漏洞盒子平台开展漏洞奖励计划，openEuler社区不会接触、获取研究者个人信息。openEuler安全委员会在通过邮件与报告者确认漏洞有效性，级别和奖金数额后，由漏洞盒子负责后续奖金支付流程。

漏洞规则

测试前请先了解相关规则！

漏洞评分标准

漏洞级别参考CVSS （全称Common Vulnerability Scoring System，即“通用漏洞评分系统”）的漏洞定级评分系统。

在线打分参考：

https://www.first.org/cvss/calculator/3.1

https://www.vulbox.com/cvss

漏洞提交方式

通过加密邮件，以报告的形式提交至openEuler安全委员会（openeuler-security@openeuler.org, PGP公钥）。

报告格式

报告中应含有以下内容：

基本信息：包括漏洞影响的模块、漏洞的触发条件和成功利用后对系统的影响等。

技术细节：包括系统配置、定位方法、Exploit的描述、POC、问题重现方法和步骤等。

修复方案建议。

具体请参考openEuler官网漏洞上报内容要求。

漏洞奖励

奖励基于每个漏洞的严重性级别。

多个研究者重复上报的漏洞，只有第一位上报漏洞的研究者会被给予奖励；奖励金额最终由openEuler安全委员会决定。

推广期额外奖励(不区分漏洞级别)：

a) 第一个漏洞奖金翻倍

b) 前十个漏洞每个漏洞额外奖励￥2000

测试过程中的禁止行为

a) 非授权访问、下载、修改或删除不属于自己的数据，仅允许通过POC证明问题存在；

b) 禁止发起网络钓鱼或者社会工程学攻击；

c) 不得为任何非法目的而使用漏洞及漏洞相关信息，不得从事以下活动：

1） 未经允许进入计算机信息网络或者使用计算机信息网络资源；

2） 未经允许，对计算机信息网络功能进行删除、修改或者增加；

3） 未经允许，对进入计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；

4） 故意制作、传播计算机病毒等破坏性程序；

5） 未经允许，进入计算机信息网络中获取相关网站系统以及平台中储存的数据；

6） 其他危害计算机信息网络安全的行为；

7） 如因上述行为给openEuler造成损失的，您应予赔偿，因您上述行为违反法律的，您将独立承担相应的法律后果。

参与人限制

openEuler安全委员会成员及相关项目维护者（maintainer）和审核者（committer）不得参与该奖励计划。