Триста девяносто четыре доллара

[@Pashkevich]

Хорошее исследование.
Еще раз лишнее подтверждение того, что ничто не может быть в полной безопасности.

[@Zibx]

— У нас дыра в безопасности!
— Ну хоть что-то у нас в безопасности.

[@I3Lack_CaT]

Весьма увлекательно, буду ждать продолжения о тех уязвимостях которые пока не закрыты, спасибо=)
Если что ввиду имелось это:

Остальные ещё не закрыты или в процессе финального рассмотрения.

[@Homakov]

$394 общая награда? Спасибо за описание, теперь буду знать с чьими баунтями не связываться. А вот уж SQLi в finance особенно подозрительно закрылся. Даже если кто то другой зарепортил, можно было бы принять такое.

[@forgotten]

Т.е. контора, которая схантила топа из из гугла, через год уволила его и заплатила неустойку в 100 миллионов долларов (пруф), заплатила за эту пачку уязвимостей меньше 400 долларов?

Кажется, организации, которые так относятся к пониманию, что для них ключевая компетенция, плохо заканчивают (см. печальную историю Nokia).

[@sebres]

Один мой знакомый, наученый горьким опытом, делал так: Находится дыра, составляется research review, но не отправляется, а дыра «используется» пару раз для предоставления инфо в качестве доказательства, и вместе с честной оценкой сколько стоило ее искать (ака pro-forma invoice statement) со ссылкой на bounty программу делается скидка (10-20%) и подпись внизу «basis for negotiation» все это отправляется «изготовителю». Предварительно обговаривается со знакомым юристом, который советует приписать пару пунктиков, если перевезти с юридического что-то типа «ни в коем случае не рассматривать предложение как шантаж» и т.д.
Обязательно внизу приписать что в случае отказа, информация о дыре не предоставляется, но и НЕ планируется НИКАКОЕ ее использование, и все будет удалено в течении N дней.

[@Homakov]

о, надо больше инфы! я тоже так буду

[@sebres]

Тут пришла идея, а что если research review запаковать с длиннющим ключем (что-нибудь типа эллиптических кривых) и приложить к pro-forma invoice? Ключ по факту…
Или даже, если возможно, в два куска — первый открыть после аванса (главное как можно меньше информации), второй после полной оплаты…

[@sebres]

надо больше инфы

«Корова не моя» (тм). Переговорю с ним, если даст добро,… :)

[@4lemon]

Да, было бы интересно узнать подробности. Ладно деньги, частенько не то что спасибо не говорят, а даже не исправляют. Шлёшь им от чистого сердца во имя мировой справедливости, а они…

[@4lemon]

По сумме ответил тут.

[@4lemon]

Егор, SQLi в finance — это моя печаль. Действительно, странно. Тем более, что это был ajax-запрос — вещь гораздо менее очевидная, чем обычные урлы. И скриншот был, и следы проверок файловых привилегий на сервере остались, но апеллировать, на мой взгляд, было бесполезно. Бог им судья. Хотя я всё-равно остался вполне доволен. Тем более, что ещё не по всем уязвимостям вынесено финальное решение. Надеюсь на сумму порядка 15к.

[@Homakov]

Тогда норм. 10к это даже много. Надо почекать их )

[@4lemon]

Там уже индусы с пакистанцами своими мелкими партиями по полтора миллиона человек прошлись). Хотя вроде с неделю назад там очередное RCE накопали. Моё личное мнение, приятный сердцу и кошельку фарш можно раскопать в азиатских локалях — Тайвань, Гонг-Конг. Сам там неплохо порезвился.

[@Fooog]

И всё же сумма в 394$ от такой компании, за подобные уязвимости, это оскорбление. При правильной эксплуатации, подобные баги могли бы yahoo очень навредить и тогда компания, понесла бы значительно большие потери.

[@4lemon]

Друзья, толи я не корректно выразился, толи вы меня не правильно поняли:

Именно за эту уязвимость Yahoo заплатил 394 доллара.

394 доллара было заплачено конкретно за «Open redirect на m.yahoo.com». В целом было выплачено больше 10К долларов.

[@ooprizrakoo]

Лучше переименуйте заголовок статьи. Все ведь его в первую очередь видят :)

[@ElleSolomina]

Агу, и дальше обычно никто не читает )

[@kls]

Решето.