TV3 Grupi vastutustundliku avalikustamise programm

TV3 Grupp, sealhulgas Go3 Baltics, All Media Eesti, All Media Latvia, Star FM, All Media Lithuania, All Media Radijas, All Media Digital (edaspidi – TV3 või TV3 Grupp) haldab oma tegevuses tohutuid andmemahte ja süsteeme, mis neid andmeid töötleb. TV3 peab nende andmete turvalisust esmatähtsaks, mistõttu töötame pidevalt selle nimel, et tagada andmete ja süsteemide turvalisus. Vaatamata TV3 pidevatele jõupingutustele turvaaukude leidmisel ja parandamisel, mõistame, et meil võib mõni neist kahe silma vahele jääda, seega kutsume teid osalema TV3 vastutustundliku avalikustamise programmis, et aidata meil parandada andmete ja süsteemi turvariske. Olles avastanud TV3 veebisaitidel ja/või süsteemides turvaauke, teatage neist meile vastavalt käesolevale vastutustundliku avalikustamise programmile.

TV3 vastutustundliku avalikustamise programmis osalemine on vabatahtlik.

Teabe edastamine TV3 veebisaitidel ja süsteemides leitud haavatavuste kohta loetakse teie kinnituseks, et olete programmi tingimused läbi lugenud ja nendega nõustunud. Kui te ei järgi programmi tingimusi, võidakse teid selles osalemisest taandada.

Vastutustundliku avalikustamise põhimõtted

TV3 julgustab turvaaukude vastutustundlikku avalikustamist ja seetõttu ei võta ta mingeid õiguslikke meetmeid isikute vastu, kes avalikustavad turvaauke vastavalt vastutustundliku avalikustamise programmi tingimuste, seadusandlike nõuete ja allpool loetletud põhimõtete kohaselt:

• haavatavuse otsimise käigus ei tohi side- ja infosüsteemi tööd, funktsionaalsust, osutatavaid teenuseid ning andmete kättesaadavust või terviklikkust muuta ega häirida;
• turvaaukude otsimine lõpetatakse pärast haavatavuse olemasolus veendumist;
• pärast turvanõrkuste otsimist teavitab isik leitud turvaaukudest viivitamatult TV3 vastavalt vastutustundliku avalikustamise programmi tingimustele;
• TV3 andmeid ei tohi jälgida, salvestada, omandada, säilitada, pealt kuulata, kopeerida, muuta, avalikustada, hävitada, eemaldada ja/või rikkuda rohkem, kui see on turvanõrkuse kinnitamiseks vajalik;
• Isikuandmetega kokku puutumisel, peaks isik viivitamatult peatama oma tegevuse, kustutama oma tegevusega seotud andmed oma süsteemist ning võtma viivitamatult ühendust TV3-ga;
• turvaaukude otsimisel ei tohi püüda ära arvata paroole, kasutada volitamata vahenditega saadud paroole ega manipuleerida küberturbeüksuse töötajate või teiste isikutega, kellel on juurdepääs haavatavuste otsimiseks olulisele tundlikule teabele;
• teavet tuvastatud turvaaugu kohta ei tohi avaldada kolmandatele isikutele enne, kui sellest on teavitatud TV3 ja turvanõrkus on parandatud;
• keelatud on toimingu tegemine, mis võimaldaks toimingu tegijal või muul kolmandal isikul TV3 või tema klientide andmeid hävitada, säilitada, jagada või neile juurde pääseda;
• turvaaukude otsimisel ei tohi ette võtta TV3 kliente mõjutada võivaid toiminguid, nagu spämmimine, sotsiaalne manipuleerimine või pakutavate teenuste häirimine;
• teha uurimistööd ainult allpool toodud mahus;
• kasutama allpool nimetatud sidekanaleid, et teavitada meid haavatavust puudutavast teabest.

Kui te neid põhimõtteid ei järgi, võime teie IP-aadressi blokeerida ja võtta kasutusele muid õiguslikke meetmeid.

Programmis osalejad

Te ei saa vastutustundliku avalikustamise programmis osaleda, kui:

• olete TV3 grupi ettevõtete või nende tütarettevõtete töötaja;
• olete TV3 Grupi ettevõtete või nende tütarettevõtete töötaja lähedane pereliige (lapsed, abikaasa, vanemad, vanavanemad, õed-vennad, lapselapsed);
• olete alla 18-aastane;
• olete välised teenusepakkujad, kes töötavad TV3 veebilehtedega ja/või platvormidel, nende varasemad partnerid või nende lähedased pereliikmed.

Kui TV3 tuvastab, et te ei vasta ülaltoodud nõuetele, eemaldatakse teid TV3 vastutustundliku avalikustamise programmist ja te ei saa preemiat.

Programmi rakendusvaldkond

Kõik allpool loetletud domeenid ja alamdomeenid võivad olla turvaaukude otsingute objektiks.

Go3.tv	Play.tv3.ee
Go3.lv	Play.tv3.lv
Go3.lt	Play.tv3.lt
Tv3.ee
Tv3.lv
Tv3.lt
www.home3.ee
mans.go3.lv
mano.go3.lt
minu.go3.tv
minu.home3.ee
mans.home3.lv
mano.home3.lt

 

Ametlikes rakenduste poodides saadaval olevad TV3 rakendused (nt iseteenindusrakendused, Go3, jne) võivad samuti olla turvaaukude otsingute objektiks.

Näited mittekvalifitseeruvatest ja kvalifitseeruvatest haavatavustest

TV3 aktsepteerib kõiki teateid tuvastatud turvaaukude kohta, mis rikuvad TV3 süsteemide terviklikkust ja konfidentsiaalsust, kuid mitte kõik teatatud haavatavused ei pruugi teenida tasu. Järgmiste haavatavuste eest EI maksta tasu:

• füüsilise testimise, näiteks kontorisse sisenemise (nt avatud uksed, tagaluuk) tulemused;
• mis tahes andmete väljafiltreerimine, mis tahes tingimustel;
• TV3 personali või mis tahes kolmandate isikute privaatsuse ja/või turvalisuse tahtlik ohustamine;
• TV3 töötajate või TV3 grupi üksuste või kolmandate isikute intellektuaalomandi või muude äriliste või finantshuvide tahtlik ohustamine;
• pettusega finantstehingute algatamine;
• sotsiaalse manipuleerimise rünnakud töötajate ja klientide vastu, nt andmepüük, muud sotsiaalse manipuleerimise meetodid või mittetehnilised rünnakud;
• kasutaja parooliga brute force rünnakud;
• rämpspostitus (sh SPF/DKIM/DMARC);
• teenuse tõkestamise (DoS) rünnakud;
• turvalisusega mitteseotud probleemid, nt HTTP vastuse koodid, rakenduse või serveri vead jne;
• probleemid, mis ei mõjuta selgelt turvalisust, nagu väljalogitud CSRF, puuduvad HTTP-turvapäised, SSL-i probleemid, paroolipoliitika probleemid või tundlike toiminguteta lehtede klõpsröövimine;
• probleemid, mis mõjutavad vananenud rakendusi või komponente, mida enam ei kasutata ega hooldata;
• kolmanda osapoole tarkvaraga seotud probleemid, nt meie kasutatavad kolmanda osapoole rakendused või teenused, välja arvatud juhul, kui need põhjustavad TV3 veebisaitidel haavatavust;
• juba teadaolevad WordPressi vead, mis ootavad WordPressi poolelt parandamist;
• probleemide eest, mis on seotud serveripoolse päringu võltsimisega (SSRF) aktiivseid päringuid teostavate teenuste puhul, välja arvatud juhul, kui see on seotud tundliku teabe avaldamisega;
• kolmandate osapoolte turvanõrkused veebisaitidel, mis on integreeritud TV3 API-ga;
• ebaturvalised küpsiste seaded;
• probleemid, mis on seotud avalikult kättesaadava või ebaolulise teabe avaldamisega, nagu serveriteabe avaldamine (vastuste päised „X-Powered-by” ja „Server”);
• turvaaugud, mis nõuavad äärmiselt ebatõenäolist kasutaja sekkumist;
• aruanded ja teave, mida saab hankida privilegeeritud juurdepääsu kaudu sihtmärgi seadmetele või mis on väljaspool TV3 kontrolli. Nende hulka kuuluvad muu hulgas juurdepääs brauseri küpsistele ja/või muudele žetoonidele, mida kasutatakse kasutajana esinemiseks, kasutaja e-posti aadressile juurdepääsemiseks jne;
• eelautentitud lehtedel esinevad klõpsuröövirünnakud või X-Frame-Options puudumine või muud mittekasutavad klõpsurööviga seotud probleemid;
• haavatavuse hindamise automaatsete tööriistade (nt Nessus, nmap) skaneerimise tulemused.

Allpool loetletud haavatavuste eest võidakse maksta tasu:

• päringuvõltsing (CSRF/XSRF);
• õiguste vallutus;
• autentimisest möödumine;
• SSRF siseteenusele;
• skriptisüst (XSS) (sh salvestatud/püsiv XSS);
• tundliku teabe, sealhulgas kasutajate/klientide isikuandmete lekkimine või avalikustamine;
• SQL-i süstid;
• kontrollimata ümbersuunamised / “vahendusründaja” rünnakud;
• alakaitstud API;
• märkimisväärne turvaväärkonfiguratsioon koos kinnitatud haavatavusega;
• koodi kaugkäitus;
• muud kriitilised turvanõrkused, mis võivad põhjustada tõsist kahju.

TV3 jätab endale õiguse hinnata teatatud haavatavuse mõju ja raskust, samuti kontrollida, kas haavatavusest on varem teatatud.

Preemia ja selle suurus

Preemia suurus sõltub tuvastatud turvanõrkuse ulatusest. Mida olulisem on haavatavus, seda suurem on sellest teatamise eest makstav tasu. Turvaauke, mis võivad viia tundlike andmete avalikustamise ja rahalise kahjuni, peetakse olulisteks haavatavusteks.

Auhinda saab maksta vaid uute turvaaukude eest, millest TV3 pole varem teavitatud. Teavitused turvaaukude kohta peavad vastama programmi tingimustele.

Kui haavatavusest teatavad korraga kaks või enam inimest, jagatakse preemia nende vahel.

Preemia maksmise ja selle suuruse määrab TV3 enda äranägemisel. Maksed tehakse eurodes või TV3 teenuste soodusvautšerite abil.

Maksesumma määramisel võtab TV3 arvesse riski tõsidust ja haavatavuse mõju.

NOTA BENE: me ei saa premeerida sanktsioneeritud isikuid ega sanktsioonide nimekirjas olevate riikide kodanikke. Preemia saaja vastutab asjakohaste maksude tasumise eest, olenevalt riigist ja kodakondsusest. Teie riigi kohalikud seadused võivad ette näha täiendavaid piiranguid, mis võivad takistada teil programmis osalemist.

Turvahaavatavustest teatamise viisid

Kui arvate, et olete leidnud turvaaugu, teatage sellest meile aadressil:

disclosure@tv3group.eu.

Kasutage meile saadetud teabe konfidentsiaalsuse tagamiseks PGP-d:

Vastutustundlik avalikustamine <disclosure@tv3group.eu>

PGP võtme ID: 0xC3ECBAD2CEB9021A

PGP sõrmejälg: 031B53FAFE66CFD309163469C3ECBAD2CEB9021A

PGP võti – laadi alla siit key

Turvahaavatavuse kohta teavet esitades märkige ära järgmine.

• haavatavuse üksikasjalik kirjeldus, sealhulgas selle kasutatavus ja mõju;
• iga haavatavuse kasutatavuse taastootmiseks vajalik samm;
• mõjutatud URL-id, rakendused (isegi kui andsite meile ka koodilõigu või video);
• otsingus kasutatud IP-aadressid;
• märkige alati POC-s kasutatav kasutajatunnus;
• lisage alati kõik failid, mida olete proovinud üles laadida;
• Edastage täielik POC;
• salvestage kõik rünnakulogid ja lisage need teavitusele.

Teie teavitus TV3-le kinnitatakse 7 päeva jooksul. Esitatud teave kontrollitakse ja teiega võetakse ühendust 30 päeva jooksul. Haavatavuse kõrvaldamiseks kuluv aeg sõltub selle keerukusest ja raskusastmest.

Konfidentsiaalsus

Kogu teave, mille saate, kogute või avastate TV3 Grupi, selle töötajate ja/või klientide kohta vastutustundliku avalikustamise programmis osalemise tulemusel, tuleb hoida konfidentsiaalsena ja seda kasutada vastutustundliku avalikustamise programmis osalemise eesmärgil. Te ei tohi sellist konfidentsiaalset teavet avaldada ilma meie eelneva kirjaliku nõusolekuta. Konfidentsiaalse teabe avaldamine, mis ei vasta eespool nimetatud tingimustele, võib kaasa tuua teie vastutustundliku avalikustamise programmist kõrvaldamise.

Esitatud teabe omandiõigus

Osaledes TV3 Grupi vastutustundliku avalikustamise programmis, annate TV3 grupi ettevõtetele ja nende tütarettevõtetele all-litsentsitava, mitteeksklusiivse, tasuta, tagasivõtmatu aja, territooriumi või ulatusega piiramatu kasutuslitsentsi reprodutseerimiseks, kohandamiseks, muutmiseks, avaldada, levitada, avalikult esitada, luua tuletatud teoseid, toota, kasutada, müüa, müügiks pakkuda ja importida teie esitatud teavet haavatavuse kohta, samuti mis tahes seotud materjali, mille esitasite TV3 grupile mis tahes eesmärgil.

Haavatavuse kohta teavet edastades garanteerite ja kinnitate, et teie esitatud teave on originaalne ning teil on täielikud õigused seda jagada ja TV3 grupi ettevõtetele ülaltoodud litsentsi anda.

Muudatused TV3 Grupi vastutustundliku avalikustamise programmis

Pärast TV3 Grupi vastutustundliku avalikustamise programmi tingimuste uuendamist teavitame teid olulistest muudatustest, postitades teate veebilehtedele tv3.ee, tv3.lv, tv3.lt, go3.tv, go3.lv , tv3.lt, home3.ee. Sellegipoolest, et olla kursis programmi kehtiva versiooniga, peaksite perioodiliselt üle vaatama ja tutvuma omal algatusel veebisaidil avaldatud TV3 Grupi vastutustundliku avalikustamise programmi uusimat versiooni.

Värskendatud: 01.05.2023

Täname, et aitate hoida TV3 Grupi ja meie kasutajate turvalisust!

 

 

Bug bounty / Responsible Disclosure Program of TV3 Group

In its activities, TV3 Group, including Go3 Baltics, All Media Eesti, All Media Latvia, Star FM, All Media Lithuania, All Media Radijas, All Media Digital (hereinafter – TV3 or TV3 Group) handles huge amounts of data and systems that process these data. TV3 finds the security of these data to be of paramount importance, thus we constantly work to ensure the security of the data and the systems. Despite continuous efforts of TV3 to find and fix security vulnerabilities, we understand that we may overlook some of them, so we invite you to participate in the Responsible Disclosure Program of TV3 to help us fix data and system security risks. Having found any security vulnerabilities on TV3´s websites and/or systems, please report them to us in accordance with this Responsible Disclosure Program.

 

Participation in the Responsible Disclosure Program of TV3 is voluntary.

 

Provision of information on vulnerabilities found on TV3´s websites and systems shall be considered to be your confirmation that you have read and agree to the terms and conditions of the Program.

If you fail to comply with the terms and conditions of the Program, you may be withdrawn from the participation in it.

 

Principles of responsible disclosure

 

TV3 encourages a responsible disclosure of security vulnerabilities and therefore it shall not take any legal action against persons who disclose security vulnerabilities in accordance with the terms and conditions of the Responsible Disclosure Program, legislative requirements and the principles listed below:

• during the vulnerability search process, the operation, functionality, services provided, and data availability or integrity of the communication and information system may not be altered or disrupted;
• a search for security vulnerabilities shall be terminated having made sure that a vulnerability exists;
• having conducted a search for security vulnerabilities, the person shall immediately inform TV3 of the security vulnerabilities found in accordance with the terms and conditions of the Responsible Disclosure Program;
• the data of TV3 may not be monitored, recorded, acquired, stored, intercepted, copied, altered, disclosed, destroyed, removed and/or corrupted more than necessary for confirming the security vulnerability;
• if Personal Data is encountered, the person should immediately halt his activity, delete related data from his system, and immediately contact TV3.
• when searching for security vulnerabilities, no attempts may be made to guess passwords, to use passwords obtained by unauthorised means or to manipulate employees of the cybersecurity entity or other persons who have access to sensitive information important for vulnerability search;
• information about the identified security vulnerability may not be disclosed to any third parties until it has been reported to TV3, and the security vulnerability has been corrected;
• taking any action that would allow the person taking the action or any other third party to destroy, store, share or access the data of TV3 or its customers shall be prohibited;
• when searching for security vulnerabilities, no action that may affect TV3´s customers, such as spamming, social engineering or disruption of the services provided, may be taken;
• perform research only within the scope set out below;
• use the identified communication channels to report vulnerability information to us.

 

If you do not comply with these principles, we may block your IP address and take other legal action.

 

Program participants

 

You cannot participate in the Responsible Disclosure Program if:

• you are an employee of a TV3 Group company or its subsidiaries;
• you are a close family member (children, spouse, parents, grandparents, siblings, grandchildren) of an employee of a TV3 Group company or its subsidiaries;
• you are under 18 years of age;
• external service providers, who work on TV3 sites and platforms, their previous partners or their close family members.

If TV3 determines that you do not meet the above requirements, you shall be withdrawn from TV3´s Responsible Disclosure Program and will not be eligible for a reward.

 

Area of application of the Program

 

All the below-listed domains and subdomains may be the subject of security vulnerability searches:

Go3.tv	Play.tv3.ee
Go3.lv	Play.tv3.lv
Go3.lt	Play.tv3.lt
Tv3.ee
Tv3.lv
Tv3.lt
www.home3.ee
mans.go3.lv
mano.go3.lt
minu.go3.tv
minu.home3.ee
mans.home3.lv
mano.home3.lt

 

TV3´s apps hosted on official app stores (e.g. self-service apps, Go3, etc.) may also be the subject of security vulnerability searches.

 

Examples of non-qualifying and qualifying vulnerabilities

 

TV3 shall accept all reports on identified vulnerabilities that violate the integrity and confidentiality of TV3´s systems, but not all reported vulnerabilities may earn a reward. The following vulnerabilities shall NOT be subject to reward:

• findings from physical testing such as office access (e.g., open doors, tailgating);
• exfiltration of any data under any circumstances;
• intentional endangerment of the TV3´s personnel’s or any third parties’ privacy and/or safety;
• intentional endangerment of the intellectual property or other commercial or financial interests of any TV3 personnel or TV3 group entities, or any third parties;
• fraudulent financial transaction initiation;
• social engineering attacks against employees and customers, e.g., phishing, other social engineering methods or non-technical attacks;

• user password brute force attacks;
• spamming (including SPF/DKIM/DMARC);
• Denial of Service (DoS) attacks;

• issues not related to security, such as HTTP response codes, application or server errors, etc.;
• issues without a clear impact on security, such as logged-out CSRF, missing HTTP security headers, SSL issues, password policy issues, or clickjacking on pages with no sensitive actions;
• issues affecting outdated applications or components, no longer in use or maintained;
• issues related to third-party software, e.g., third-party applications or services which we use, except when they cause a vulnerability on TV3´s websites;
• already known WordPress bugs which are waiting for fix from WordPress side;
• issues involving server-side request forgery (SSRF) on services that perform active requests, except when this relates to the disclosure of sensitive information;
• third-party security vulnerabilities on websites that integrate with TV3 API;
• insecure cookie settings;
• issues involving disclosure of publicly available or irrelevant information, such as disclosure of server information (“X-Powered-by” and “Server” response headers);
• vulnerabilities requiring exceedingly unlikely user interaction;
• reports and information that can be obtained through privileged access to target’s devices or that are beyond TV3 control. These include, inter alia, access to browser cookies and/or other tokens used to impersonate the user, access user’s email address, etc.;
• clickjacking attacks that occur on pre-authenticated pages, or the absence of X-Frame-Options, or any other non-exploitable clickjacking issues;

• results of scanning automatic tools for vulnerability assessment (i.e., Nessus, nmap).

A reward may be provided for the vulnerabilities listed below:

 

• Cross Site Request Forgery (CSRF/XSRF);
• Privilege escalation;
• Authentication bypass;
• SSRF to an internal service;
• Cross-site scripting (XSS) (including stored/ persistent XSS);
• Leakage or disclosure of sensitive information, including personal data of users/customers;
• SQL injections;
• Unverified redirects / “Man in the Middle” attacks;
• Under-protected API;
• Significant security misconfiguration with a confirmed vulnerability;
• Remote code execution;
• Other critical security vulnerabilities that may cause severe harm.

 

TV3 reserves the right to assess the impact and severity of a reported vulnerability, also checking whether the vulnerability has been reported before.

 

Reward and its amount

The amount of the reward depends on the extent of the detected security vulnerability. The more significant the vulnerability is, the higher is the reward paid for reporting it. Vulnerabilities that could lead to the disclosure of sensitive data and financial loss are considered significant vulnerabilities.

Rewards can only be paid for new security vulnerabilities that have not been reported to TV3 before. Reports on disclosed security vulnerabilities shall comply with the terms and conditions of the Program.

If two or more people report a vulnerability together at the same time, the reward shall be split between them.

The payment of a reward and its amount shall be set at the discretion of TV3. Payments shall be made in euro or by providing discount vouchers for TV3 services.

When determining the payment amount, TV3 shall consider the severity of the risk and the impact of the vulnerability.

NOTA BENE: we cannot reward sanctioned persons or nationals of countries that are on the sanctioned list. You shall be responsible for any taxes depending on your country and nationality. Local laws of your country may provide for additional restrictions that could prevent you from participating in the Program.

 

Ways to report security vulnerabilities

If you think you have found a security vulnerability, please report it to us at:

disclosure@tv3group.eu.

Please use PGP to ensure the confidentiality of the information sent to us:

Responsible Disclosure <disclosure@tv3group.eu>

PGP key id:     0xC3ECBAD2CEB9021A

PGP fingerprint: 031B53FAFE66CFD309163469C3ECBAD2CEB9021A

PGP key – download key

When providing information about a security vulnerability, please indicate the following:

• a detailed description of the vulnerability, including its exploitability and impact;
• each step required to reproduce the exploitability of the vulnerability;
• affected URLs, applications (even if you also provided us with a code snippet or a video);
• the IP addresses that were used in the search;
• always indicate the user ID used in the POC;
• always include all the files you have tried to upload;
• provide a complete POC;
• save all attack logs and attach them to the report.

 

Your report should be confirmed within 7 days. Disclosed information will be verified, and you should be contacted within 30 days. The time it takes to resolve a vulnerability depends on its complexity and severity.

 

Confidentiality

Any information you receive, collect or discover about TV3 Group, its employees and/or customers as a result of your participation in the Responsible Disclosure Program shall be kept confidential and used for the purposes of participating in the Responsible Disclosure Program. You may not disclose such confidential information without our prior written consent. Any disclosure of confidential information that does not comply with this requirement may result in your withdrawal from the Responsible Disclosure Program.

 

Ownership of the information provided

By participating in the Responsible Disclosure Program of TV3 Group, you shall provide TV3 Group companies and their subsidiaries with a sub-licensable, non-exclusive, free, irrevocable use licence unrestricted in time, territory or scope, to reproduce, adapt, modify, publish, distribute, publicly perform, create derivative works, produce, use, sell, offer for sale, and import your provided information about the vulnerability, as well as any related material which you provided to TV3 Group, for any purpose.

When providing information on a vulnerability, you shall warrant and represent that your provided information is original and that you have full rights to share it and to provide TV3 Group companies with the above licence.

 

Amendments to the Responsible Disclosure Program of TV3 Group

Once we update the terms and conditions of the Responsible Disclosure Program of TV3 Group, we shall inform you of any material amendments by posting a notice on the websites tv3.ee, tv3.lv, tv3.lt, go3.tv, go3.lv, tv3.lt, home3.ee. Nevertheless, to be familiar with the current version of the Program, you should periodically review and familiarise yourself with the latest version of the Responsible Disclosure Program of TV3 Group published on the website on your own initiative.

 

Updated: 01.05.2023

 

Thank you for helping keep TV3 Group and our users safe!