{"title":"Programme de prime aux bogues du Gouvernement du Qu\u00e9bec","slug":"programmes-de-primes-aux-bogues-du-gouvernement-du-quebec-cgcd","rules":"En avril 2022, le minist\u00e8re de la Cybers\u00e9curit\u00e9 et du Num\u00e9rique (MCN) a cr\u00e9\u00e9 le nouveau **Programme de prime aux bogues** afin de structurer et de renforcer les interventions pour assurer une cybers\u00e9curit\u00e9 au sein du gouvernement.\nPar l’entremise du Programme, le MCN veut mettre \u00e0 contribution la communaut\u00e9 de chercheurs en s\u00e9curit\u00e9 de l’information, avec l’aide de la plateforme *YesWeHack,* afin d’identifier de possibles vuln\u00e9rabilit\u00e9s au sein de nos actifs informatiques.\n\nLes objectifs poursuivis par le Programme sont:\n- Assurer la protection et la r\u00e9silience des services publics et des \u00e9changes \u00e9lectroniques gouvernementaux\n- Acc\u00e9l\u00e9rer la prise en charge des vuln\u00e9rabilit\u00e9s au sein de l’appareil gouvernemental\n- \u00c9tablir des partenariats de collaboration en mati\u00e8re de recherche et d’innovation\n\nLe MCN estime que la collaboration de la communaut\u00e9 de chercheurs en s\u00e9curit\u00e9 de l’information est essentielle. Elle offre une plus grande force de frappe pour identifier les potentielles faiblesses informatiques de ses actifs.\nSi vous avez remarqu\u00e9 une faille de s\u00e9curit\u00e9 sur une de nos technologies ou en soup\u00e7onnez la pr\u00e9sence, nous vous invitons \u00e0 communiquer rapidement avec nous. Ainsi, s’il s’agit r\u00e9ellement d’une vuln\u00e9rabilit\u00e9 et que toutes les conditions sont r\u00e9unies, vous serez r\u00e9compens\u00e9 pour votre d\u00e9couverte et pourrez collaborer avec notre \u00e9quipe afin de r\u00e9soudre le probl\u00e8me.\n\n## Termes et conditions (accept\u00e9)\n\n- Respecter les conditions du **Programme de prime aux bogues**\n- Respecter les politiques concernant la protection de la vie priv\u00e9e\n- Ne pas traiter ou d\u00e9truire des donn\u00e9es personnelles ni y acc\u00e9der\n- \u00catre pr\u00e9cis et fournir des documents de travail d\u00e9taill\u00e9s facilitant la compr\u00e9hension de vos commentaires et vos explications\n- Respecter le travail d’autrui et favoriser la collaboration\n- Utiliser uniquement des comptes personnels ou autoris\u00e9s lors des tests \u00e0 effectuer\n- \u00catre vigilant lors des tests \u00e0 effectuer afin d’\u00e9viter des pr\u00e9judices de s\u00e9curit\u00e9 \u00e0 l’\u00e9gard de la client\u00e8le et de ses services\n- \u00catre prudent et consciencieux en signalant imm\u00e9diatement les doutes d\u00e8s la premi\u00e8re constatation. Attendre la confirmation autorisant la continuit\u00e9 des tests\n\n## Termes et conditions (refus\u00e9)\n\n- Sont inadmissibles \u00e0 participer au Programme de primes aux bogues du gouvernement du Qu\u00e9bec : les personnes \u00e0 l\u2019emploi d\u2019un minist\u00e8re, d\u2019un organisme public ou d\u2019une entreprise du gouvernement du Qu\u00e9bec ou toute personne offrant des services \u00e0 ces organisations aux termes d\u2019un contrat de services professionnels en technologie de l\u2019information. Si ces personnes d\u00e9couvrent une vuln\u00e9rabilit\u00e9, elles sont invit\u00e9es \u00e0 la signaler au moyen de la plateforme de signalement de vuln\u00e9rabilit\u00e9 au [https:\/\/www.cyber.gouv.qc.ca\/signalements\/signalement-vulnerabilites\/formulaire](https:\/\/www.cyber.gouv.qc.ca\/signalements\/signalement-vulnerabilites\/formulaire)\n- Ne laisser aucun actif dans un \u00e9tat plus vuln\u00e9rable qu’il ne l’\u00e9tait initialement\n- Ne jamais forcer les informations d’identification ni essayer de deviner celles-ci afin d’acc\u00e9der aux actifs\n- Ne participer d’aucune mani\u00e8re \u00e0 des attaques par d\u00e9ni de service\n- Ne pas t\u00e9l\u00e9charger d’invit\u00e9 de commandes ni cr\u00e9er de porte d\u00e9rob\u00e9e\n- Ne jamais divulguer publiquement une vuln\u00e9rabilit\u00e9 sans le consentement officiel des autorit\u00e9s\n- Ne prendre part \u00e0 aucune forme d’ing\u00e9nierie sociale des employ\u00e9s du gouvernement, des clients ou des fournisseurs\n- Ne jamais engager, impliquer ou cibler un employ\u00e9 du gouvernement, un client ou un fournisseur durant les tests\n- Ne pas extraire, t\u00e9l\u00e9charger ni exfiltrer des donn\u00e9es qui pourraient contenir des informations personnelles ou sensibles pouvant compromettre la s\u00e9curit\u00e9 d’autrui. Un tel comportement est passible de poursuites criminelles\n- Ne jamais modifier le mot de passe d’un compte qui ne vous appartient pas ou que vous n’\u00eates pas autoris\u00e9 \u00e0 modifier\n**Note : Si jamais vous avez la possibilit\u00e9 de modifier le mot de passe d’un compte qui n’est pas le v\u00f4tre ou qui ne vous a pas \u00e9t\u00e9 assign\u00e9, signalez la d\u00e9couverte**\n- S’assurer que vos actions ne puissent en aucun cas \u00eatre consid\u00e9r\u00e9es comme une violation de la vie priv\u00e9e ou provoquer la destruction de donn\u00e9es, l’interruption et la d\u00e9gradation d’un service\n- Ne pas interagir avec des comptes pour lesquels vous n’avez pas obtenu la permission du titulaire\n\n## Vuln\u00e9rabilit\u00e9s accept\u00e9es\n\n- Ex\u00e9cution de code \u00e0 distance (RCE)\n- Acc\u00e8s et manipulation de fichiers locaux (LFI, RFI, XXE, SSRF, XSPA)\n- Injections de code (HTML, JS, SQL, PHP)\n- Script intersites (XSS)\n- Contrefa\u00e7on de requ\u00eates intersites (CSRF) avec un impact r\u00e9el sur la s\u00e9curit\u00e9\n- Redirection ouverte\n- R\u00e9f\u00e9rences directes d’objet non s\u00e9curis\u00e9es (IDOR)\n- Mauvaise configuration CORS avec un impact r\u00e9el sur la s\u00e9curit\u00e9\n- \u00c9l\u00e9vation horizontale et verticale des privil\u00e8ges\n- Erreurs de logique\n\n## Vuln\u00e9rabilit\u00e9s exclues\n\n- Le d\u00e9tournement de clic sur les pages statiques ou n’ayant pas d’effets r\u00e9els sur la s\u00e9curit\u00e9 de l’actif informationnel\n- *Cross-Site Request Forgery* (CSRF) sur des formulaires non authentifi\u00e9s ou des formulaires sans actions sensibles\n- Attaque par interception n\u00e9cessitant un acc\u00e8s MITM ou physique \u00e0 l’appareil d’un utilisateur\n- Code source accessible (*open source*) ou biblioth\u00e8ques tierces vuln\u00e9rables connues, \u00e0 moins que la vuln\u00e9rabilit\u00e9 ne puisse \u00eatre exploit\u00e9e au sein d’une application dans le champ d’application\n- Injection de valeurs s\u00e9par\u00e9es par des virgules (CSV) sans d\u00e9montrer de vuln\u00e9rabilit\u00e9\n- Bonnes pratiques manquantes dans la configuration SSL\/TLS\n- Toute activit\u00e9 pouvant entra\u00eener une interruption du service (DoS)\n- Probl\u00e8me d’usurpation de contenu et d’injection de texte sans montrer de vecteur d’attaque ou sans pouvoir modifier les balises HTML ni le code CSS\n- Probl\u00e8me de limitation de d\u00e9bit ou de force brute sur les points de terminaison sans authentification\n- Bonnes pratiques manquantes dans la politique de s\u00e9curit\u00e9 du contenu\n- Indicateurs *HttpOnly* ou *Secure* manquants sur les t\u00e9moins de navigation (*cookies*)\n- Bonnes pratiques relatives aux courriels manquants (protocoles SPF\/DKIM\/DMARC non valides, incomplets ou manquants, etc.)\n- Vuln\u00e9rabilit\u00e9s affectant uniquement les utilisateurs de navigateurs obsol\u00e8tes ou non corrig\u00e9s.\n**Note : Un navigateur est consid\u00e9r\u00e9 obsol\u00e8te ou non corrig\u00e9 s’il existe deux versions stables ou moins depuis la derni\u00e8re qui a \u00e9t\u00e9 publi\u00e9e**\n- Divulgation de la version du logiciel\n- Probl\u00e8mes d’identification de la banni\u00e8re\n- Messages d’erreur ou en-t\u00eates descriptifs (par exemple, traces de pile, erreurs d’application ou de serveur, etc.)\n- Les vuln\u00e9rabilit\u00e9s publiques *Zero-Day* qui ont un correctif officiel depuis moins d’un mois seront attribu\u00e9es au cas par cas\n- *Tabnabbing*\n**Note : Technique de piratage bas\u00e9e sur les habitudes de navigation par onglet**\n- Probl\u00e8mes n\u00e9cessitant une interaction improbable de l’utilisateur\n- D\u00e9lais d’expiration de session excessifs\n- Attaques par bourrage de justificatifs\n- Divulgation des adresses IP et des chemins internes, sauf s’il s’agit d’un code d’exploitation nuisible ou si cette divulgation d\u00e9montre un impact affaire\n- Saisie semi-automatique activ\u00e9e\n- En-t\u00eates manquants li\u00e9s \u00e0 la s\u00e9curit\u00e9 tels que : *content-security-policy, public-key-pins, x-xss-protection, x-content-type-options, x-frame-options*\n- R\u00e9sultats des scanners automatis\u00e9s\n- Ing\u00e9nierie sociale, attaques par hame\u00e7onnage, attaques physiques et attaques contre les protocoles r\u00e9seaux\n- Contourner le pare-feu applicatif prot\u00e9geant les composantes Web (WAF)\n- Auto XSS\n- Page d’authentification expos\u00e9e\n- Prises de contr\u00f4le de sous-domaines sans preuve de concept\n- Ports ouverts sans preuve de concept d’accompagnement d\u00e9montrant la vuln\u00e9rabilit\u00e9\n- \u00c9num\u00e9ration d'utilisateurs\n- T\u00e9l\u00e9versement de fichiers infect\u00e9s par un virus\n- Cl\u00e9 API Google divulgu\u00e9e ou mal configur\u00e9e (y compris Google Maps)\n- Toutes trouvailles qui n'ont pas d'impact sur confidentialit\u00e9, disponibilit\u00e9 et int\u00e9grit\u00e9 \n- **Un vid\u00e9o est requis ou le rapport sera rejet\u00e9.**\n\n## P\u00e9rim\u00e8tre du Programme\n\n| SCOPE | TYPE | SECURITY REQUIREMENT | LOW | MEDIUM | HIGH | CRITICAL |\n|-------|------|:--------------------:|:---:|:------:|:----:|:--------:|\n| *.cyber.gouv.qc.ca | web-application | +++ | $250 | $750 | $1,500 | $3,000 |\n| https:\/\/auth-ywh.it.authentification.si.gouv.qc.ca\/ | web-application | +++ | $250 | $750 | $1,500 | $3,000 |\n\n\n## Hors p\u00e9rim\u00e8tre\n\n- Tous les actifs qui ne sont pas inclus dans le p\u00e9rim\u00e8tre\n- L'actif suivant n'est pas inclus dans le p\u00e9rim\u00e8tre mais permet de cr\u00e9er un compte sans v\u00e9rification:\nhttps:\/\/poc-op-ywh.it.authentification.si.gouv.qc.ca\/\n\n## Exigences de chasse\n\n### USER AGENT\n\nVeuillez ajouter \u00e0 votre en-t\u00eate \u00ab USER AGENT \u00bb la valeur suivante : '**MCN-Prime-aux-bogues**'.\n\n# English\n\nIn April 2022, the Minist\u00e8re de la Cybers\u00e9curit\u00e9 et du Num\u00e9rique (MCN) created the new **Prime aux bogues Program** to structure and strengthen responses to ensure cybersecurity within the government.\nThrough this program, MCN wants to engage the information security research community, with the help of the *YesWeHack* platform, to identify potential vulnerabilities within our IT assets.\nThe objectives of this program are to:\n- Ensure the protection and resilience of public services and government electronic exchanges.\n- Accelerate the handling of vulnerabilities within the government.\n- Establish collaborative research and innovation partnerships.\n\nMCN believes that collaboration from the information security research community is essential. It provides greater leverage in identifying potential cyber weaknesses in its assets.\nIf you have noticed or suspect a security vulnerability in any of our technologies, we encourage you to contact us quickly. This way, if it really is a vulnerability and all the conditions are met, you will be rewarded for your discovery and will be able to collaborate with our team to solve the problem.\n\n## Terms and Conditions (accepted)\n\n- Comply with these CGCD **Prime aux bogues Program** Terms\n- Comply with privacy policies. Don’t process, destroy, or access personal data\n- Be specific and provide detailed working documents that make it easy to understand your comments and explanations\n- Respect the work of others and encourage collaboration\n- Only use personal or authorized accounts during the tests to be conducted\n- Exercise caution during tests to be conducted to avoid security issues and negative impact on customers and their services\n- Be careful and conscientious by immediately reporting doubts at the first observation and wait for confirmation authorizing the continuation of tests\n\n## Terms and Conditions (refused)\n\n- People employed by a ministry, public agency or an enterprise of the Gouvernement du Qu\u00e9bec or any person providing services to these organizations under a professional contract in technology of information are not eligible to participate in the Gouvernement du Qu\u00e9bec's \"primes aux bogues\" program. If these individuals discover a vulnerability, they are invited to report it to the Vulnerability Reporting Platform at [https:\/\/www.cyber.gouv.qc.ca\/vulnerabilite\/](https:\/\/www.cyber.gouv.qc.ca\/en\/report\/vulnerability-report-platform\/form). \n- Don’t leave any asset in a more vulnerable state than it was initially\n- Never force identification information, or try to guess identification information in order to access assets\n- Don’t participate in denial-of-service attacks\n- Don’t download a command prompt or create a backdoor\n- Never publicly disclose a vulnerability without official consent from authorities\n- Don’t take part in any form of social engineering of government employees, customers, or suppliers\n- Never engage, or involve, or target any government employee, customer, or supplier during testing\n- Don’t attempt to extract, download, or export data that may contain personal or sensitive information that could compromise the security of others: Such behaviour is subject to criminal prosecution\n- Never change the password of an account that you do not own or that you are not authorized to change\nNote: If you ever have the opportunity to change the password of an account that is not yours, or that has not been assigned to you, report the discovery\n- Ensure that your actions cannot in any way be considered a violation of privacy or cause the destruction of data, the interruption, and degradation of a service\n- Don’t interact with accounts for which you have not obtained permission from the owner\n\n## Accepted vulnerabilities\n\n- Remote code execution (RCE)\n- Local files access and manipulation (LFI, RFI, XXE, SSRF, XSPA)\n- Code injections (HTML, JS, SQL, PHP)\n- Cross-Site Scripting (XSS)\n- Cross-Site Requests Forgery (CSRF) with real security impact\n- Open redirect\n- Insecure direct object references (IDOR)\n- CORS misconfig with real security impact\n- Horizontal and vertical privilege escalation\n- Business Logic Errors\n\n## Excluded vulnerabilities\n\n- Clickjacking on pages with no sensitive actions\n- Cross-Site Request Forgery (CSRF) on unauthenticated forms or forms with no sensitive actions\n- Attacks requiring MITM or physical access to a user's device\n- Known vulnerable 3rd party or open-source libraries unless the vulnerability can be exploited within an in-scope application\n- Comma Separated Values (CSV) injection without demonstrating a vulnerability\n- Missing best practices in SSL\/TLS configuration\n- Any activity that could lead to the disruption of our service (DoS)\n- Content spoofing and text injection issues without showing an attack vector\/without being able to modify HTML\/CSS\n- Rate limiting or bruteforce issues on non-authentication endpoints\n- Missing best practices in Content Security Policy\n- Missing HttpOnly or Secure flags on cookies\n- Missing email best practices (Invalid, incomplete, or missing SPF\/DKIM\/DMARC records, etc.)\n- Vulnerabilities only affecting users of outdated or unpatched browsers [Less than 2 stable versions behind the latest released stable version]\n- Software version disclosure \/ Banner identification issues \/ Descriptive error messages or headers (e.g., stack traces, application, or server errors)\n- Public Zero-day vulnerabilities that have had an official patch for less than 1 month will be awarded on a case-by-case basis\n- Tabnabbing\n- Issues that require unlikely user interaction\n- Excessive Session timeouts\n- Password stuffing attacks\n- Disclosure of Internal IPs and Paths, unless it is a harmful exploit or demonstrates a business impact\n- Autocomplete enabled\n- Missing security-related headers, such as: content-security-policy, public-key-pins, x-xss-protection, x-content-type-options, x-frame-options\n- Findings from automated scanners\n- Social engineering, Phishing attacks, Physical attacks, and attacks against Network protocols\n- Bypassing WAF\n- Self XSS\n- Exposed login panels\n- Subdomain takeovers without a proof-of-concept\n- Open ports without an accompanying proof-of-concept demonstrating vulnerability\n- User enumeration\n- Uploading virus-infected files\n- Disclosed or misconfigured Google API key (including Google Maps)\n- Any findings that have no impact on confidentiality, availability and integrity \n- **A video is requested or the report will be rejected.**","rules_html":"

En avril 2022, le minist\u00e8re de la Cybers\u00e9curit\u00e9 et du Num\u00e9rique (MCN) a cr\u00e9\u00e9 le nouveau Programme de\u00a0prime aux bogues<\/strong> afin de structurer et de renforcer les interventions pour assurer une cybers\u00e9curit\u00e9 au sein du gouvernement.
\nPar l\u2019entremise du Programme, le MCN veut mettre \u00e0 contribution la communaut\u00e9 de chercheurs en s\u00e9curit\u00e9 de l\u2019information, avec l\u2019aide de la plateforme YesWeHack,<\/em> afin d\u2019identifier de possibles vuln\u00e9rabilit\u00e9s au sein de nos actifs informatiques.<\/p>\n

Les objectifs poursuivis par le Programme sont:<\/p>\n