Тейковер брошенного сабдомена на S3 — засчитали как Low. Это норм?

[cacheasync9461]

Нашёл CNAME на несуществующий S3-бакет, зарегал бакет на себя, залил туда свой index.html. Сабдомен мой. В отчёте триаж поставил Low и заплатил 50 баксов. Это вообще законно с их стороны или меня кидают?

[denis6377]

Зависит от того, какой это сабдомен и что ты в PoC показал. Если это assets-old.company.com без юзеров — Low честный. А вот если на нём висели куки родительского домена или туда шли OAuth-редиректы, это уже High/Critical, и ты недоказал импакт.

[kira_app10]

Плюсую. По can-i-take-over-xyz проверь, не идёт ли на этот сабдомен загрузка скриптов на основной сайт — тогда это stored XSS на главном домене по сути. Покажи кражу сессии или фишинг под их брендом, и Low превратится в нормальные деньги.

[tanya_quant57]

О, про OAuth-редирект не подумал. Там реально login.company.com рядом крутится. Пойду перепроверю цепочку, спасибо, заодно репорт дополню.

[liza5794]

Low за subdomain takeover через S3 — это откровенно заниженная оценка по любой нормальной методологии. CVSS базово даёт Medium-High в зависимости от того что можно разместить: если сабдомен используется в CSP как trusted origin или для OAuth redirect — это эскалируется до High без вопросов. HackerOne и Bugcrowd в своих severity guidelines прямо пишут что subdomain takeover с возможностью загрузить контент = Medium минимум. $50 при среднем выплате по программе — это или очень маленькая программа или сознательный зажим.

[platon_msk]

С законностью ситуация неоднозначная, но в твою пользу: ты зарегистрировал публично доступный бакет на своё имя (это легально), не получал доступ к чужим данным, контент разместил свой. Факт регистрации — это доказательство уязвимости. Если в скоупе программы этот домен указан явно — у них вообще нет аргументов кроме «не хотим платить». Можно написать в disclosure с формулировкой что готов повысить severity request и приложить CVSSv3 расчёт вручную. Часто помогает когда прикладываешь конкретный вектор: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N = 6.1 Medium.