À propos d'AuditOne

AuditOne est un fournisseur d'infrastructures d'audit. Nous exploitons TIC OS, le système d'exploitation destiné aux organismes de certification et d'inspection, une plateforme regroupant des auditeurs de sécurité et des auditeurs ISO agréés, ainsi que des services de sécurité tels que les audits de contrats intelligents et les tests d'intrusion.

Ce programme porte sur nos contrats intelligents, nos applications web et l'infrastructure numérique qui les sous-tend, avec un accent particulier sur TIC OS.

Actifs concernés

Contrats intelligents

Pool de remises : 0x28e59a982584987708D68754459e0375c9Caf77A (IOTA EVM)

Applications Web

• TIC OS : https://cockpit.auditone.io/ (y compris ses API, ses portails clients et ses vues destinées aux auditeurs)
• Application Auditor : https://auditor.auditone.io
• Site web : www.auditone.io

Infrastructures

Les domaines et sous-domaines hébergés sur auditone.io, ainsi que l'infrastructure cloud exploitée par AuditOne pour ces applications.

Gravité et récompenses

La gravité et le montant de la récompense sont déterminés par AuditOne en fonction de l'impact avéré.

Critique (de 3 000 à 10 000 dollars)

Ce niveau est réservé exclusivement aux vulnérabilités des contrats intelligents AuditOne concernés qui permettent à un attaquant de voler des actifs, c'est-à-dire de dérober directement des jetons ou des fonds détenus dans le « Discount Pool ». Aucune faille relative aux applications web ou à l'infrastructure ne peut être classée comme « Critique ».

Élevé (de 1 000 à 3 000 dollars)

• Accès aux données d'un autre client dans TIC OS (accès inter-locataires aux données), y compris via des fonctionnalités d'IA ou l'injection de prompts
• Prise de contrôle de compte ou contournement de l'authentification sur TIC OS ou sur la plateforme Auditor Marketplace
• Exécution de code à distance sur les serveurs AuditOne
• Vulnérabilités par injection (SQL, NoSQL, commande) pouvant entraîner l'extraction ou la modification de données
• Élévation des privilèges vers les rôles d'administrateur ou de propriétaire de l'organisation
• Falsifier, modifier ou annuler des certificats ou des rapports d'audit sans autorisation
• Des failles dans les contrats intelligents entraînant le gel définitif de fonds ou la création non autorisée de jetons, sans qu'il y ait de vol proprement dit

Moyen (de 300 à 1 000 dollars)

• Cross-Site Scripting (XSS) stocké
• Falsification de requêtes intersites (CSRF) lors d'actions modifiant l'état
• Références non sécurisées à des objets directs exposant des données limitées au sein d'un même tenant
• Contournement d'un rôle ou d'une autorisation au sein d'un locataire, par exemple lorsqu'un auditeur accède à des enregistrements ne relevant pas de sa mission
• Falsification de requêtes côté serveur (SSRF) sans accès aux systèmes internes
• Divulgation de secrets, d'identifiants ou de paramètres de configuration sensibles
• Défauts de logique métier dans les processus d'audit, de certification ou de paiement
• Des failles dans les contrats intelligents entraînant un gel temporaire des fonds ou un déni de service au niveau du contrat

Faible (jusqu'à 300 $)

• XSS réfléchi nécessitant une interaction importante de la part de l'utilisateur
• Redirections ouvertes
• Absence de limitation du nombre de tentatives lors de la connexion, de la réinitialisation du mot de passe ou d'autres opérations sensibles
• Énumération des utilisateurs ou des comptes
• Problèmes liés aux contrats intelligents n'ayant aucune incidence sur les actifs, par exemple une émission d'événements incorrecte ou des erreurs dans les fonctions de consultation

Hors champ d'application

• Les infrastructures et services de prestataires tiers (hébergement cloud, créateurs de sites web, messagerie électronique, prestataires de services de paiement et d'analyse), même lorsque AuditOne y a recours
• Les sites Web et applications ne figurant pas dans la liste ci-dessus, y compris ceux de nos partenaires ou de nos clients
• Oracles de prix et contrats intelligents tiers
• Clickjacking sur des pages ne comportant pas d'actions sensibles, XSS auto-injecté, absence d'en-têtes de sécurité ou d'enregistrements de messagerie (SPF, DKIM, DMARC) sans impact démontrable
• Résultats reproductibles uniquement dans des navigateurs obsolètes ou non pris en charge
• Rapports générés par des scanners automatisés sans preuve de concept fonctionnelle
• Problèmes dont nous avons déjà connaissance ou qui ont été signalés en premier lieu par un autre chercheur

Règles et conditions

Les activités suivantes sont interdites :

• Tout test impliquant des contrats du réseau principal ou d'un réseau de test public ; tous les tests de contrats intelligents doivent être effectués sur des réseaux de test privés
• Tout test impliquant des oracles de prix ou des contrats intelligents tiers
• Tenter des attaques de hameçonnage ou d'autres attaques d'ingénierie sociale à l'encontre de nos employés et/ou de nos clients
• Accéder, modifier ou supprimer des données appartenant à d'autres utilisateurs ou clients ; si vous tombez sur de telles données, arrêtez-vous immédiatement et signalez-le
• Utilisation de tout compte autre que vos propres comptes de test ; des comptes de test sur un tenant TIC OS dédié sont disponibles sur demande
• Créer, modifier ou annuler des certificats ou des rapports d'audit authentiques
• Attaques par déni de service, tests de charge ou analyses automatisées susceptibles de nuire au bon fonctionnement des organismes de certification utilisant TIC OS
• Attaques physiques contre les bureaux ou les centres de données d'AuditOne
• Révéler publiquement une vulnérabilité avant qu'elle n'ait été corrigée et que nous ayons donné notre accord pour cette divulgation

Rapports

Envoyez vos conclusions via l'application AuditOne en précisant une description claire, l'actif concerné, les étapes permettant de reproduire le problème et une démonstration de principe.

Seul le premier signalement valide d'une vulnérabilité donne droit à une récompense. Les particuliers doivent se soumettre à une procédure de vérification d'identité (KYC) avant le versement de la récompense.

Clause de sauvegarde

Toute recherche menée de bonne foi et dans le respect des présentes règles ne donnera lieu à aucune poursuite judiciaire de la part d'AuditOne.