mixiの脆弱性報告制度について - Shira's blog

mixiが2013年9月31日からはじめた脆弱性報告制度を利用し、いくつかの脆弱性の報告を行ったので、その結果とミクシィセキュリティチームの対応について記載しようと思う。 脆弱性報告制度 https://developer.mixi.co.jp/inquiry/security/ 1. 報告内容と報酬について 対象・脆弱性・報酬を表にまとめてみた。 対象脆弱性報酬 Find Job! XSS 12.5万円 Open Redirect （なし） mixi Open Redirect / OpenID漏えい 6万円 mixi research SQL (ログイン) 50万円 SQL (ログイン(Ciao)) SQL (検索) SQL (検索(Ciao)) SQL (パスワードリマインダ) 他人のデータの閲覧・改ざん （なし） 他人のデータの閲覧 （なし） XSS 12.5万円 XSS XSS

[lesamoureuses]

この制度難しそうだなぁ。大量の本をまとめて持っていったらいくつかの本に対して「この本は買い取りできませんがコチラで処分しましょうか？」と言われるデカい古本屋のことを思い出す

[testedquality]

ほかの方でも同様の対応報告があったのでmixiは今後セキュリティ対応を外部協力受けられなくなるのではなかろうか。それは会社の利益を長期間損ねるとおもうんだけど。某ゲームとかの脆弱性とかさ。

[cvshin]

これでレスポンスがなければmixiは完全にブラック認定になる。私の中では。| mixiの脆弱性報告制度について

[nilnil]

企業体質的な意味で

[hazisarashi]

mixi に報告するのやめて、みんなで大公開しようぜ！って流れ来ないかなぁ…

[tarchan]

＞報酬を渋り、都合の悪いメールは無視するといったmixi側の対応は、今後このような制度を行う際に悪い影響となるだろう。

[oinume]

mixi researchヤバい

[todesking]

(；´Д｀)

[shiwork]

厳しい / mixiの脆弱性報告制度について - Shira's blog

[ftype]

本当にミクソ

[taguch1]

死んでいるサービスの脆弱性にお金をかけたくないでしょう。

[katzchang]

納得感のある制度、難しそう。

[yoshi-na]

さすがミクシィは対応が違うな！

[himomen]

http://securitymemo.blog.fc2.com/blog-entry-36.html　この人とは別の方ですかね

[sonots]

うーむ

[hirata_yasuyuki]

Browsing: “mixiの脆弱性報告制度について - Shira's blog”

[kungfu7010]

いいなーこの制度