【悬赏计划】澎湃护航 - Xiaomi 14 手机守护计划 - 新鲜讯息

MiSRC 「澎湃护航 - Xiaomi 14 手机守护计划」

今日正式启动

我们诚挚邀请全球顶尖的安全专家们参与此次计划

共同守护小米手机的安全与稳定

单个漏洞的最高奖励可达30万元

让我们携手并肩，共同迎接挑战，为用户安全护航

一

活动时间

2024年6月12日-2024年7月12日

二

漏洞提交要求

提交的漏洞需满足以下规则，经验证漏洞在规定的场景中真实有效，方可参与本次[澎湃护航 - Xiaomi 14 手机守护计划]奖金评估，本活动不与其他奖励计划的奖励叠加。

*注：提交漏洞时漏洞名称需注明【澎湃护航】，若无此格式视为不参加本次活动

Part.01

漏洞利用要求

限定机型为 Xiaomi 14 系列（Xiaomi 14、Xiaomi 14 Pro、Xiaomi 14 Ultra）更新到官方最新稳定版 ROM
浏览器须通过小米应用商店更新到最新版本
须保持默认的系统设置或是正常使用手机的设置，无任何特殊改动
不能申请和使用 Accessibility 权限
外界未曝光细节与 PoC 的 0day 漏洞（Chrome buglist 内公开漏洞不在奖励计划内）
所有漏洞（包括 root 权限提升）在所有场景中只会判定有效一次，在其他场景或利用链中再次被使用，将被视为漏洞重复

Part.02

漏洞接收范围

本活动仅接收以下类型的安全漏洞，并根据其级别给予奖励。不在活动范围的漏洞提报，将依照 MiSRC 默认奖励标准进行奖励。

挑战项：

通过原创 0day 漏洞在任意场景可以获取小米 * 完整 root 权限（官方 root 工具除外），直接奖励 100,000 元奖金，但通过 gki 等三方基础组件引入的漏洞除外。

三

漏洞验证与确认

Part.01

漏洞验证方式

a. 白帽子需提交完整的漏洞利用报告，包括：

漏洞分析的详细报告，包括必要的调用链描述+截图
验证漏洞的 poc，或 exp 的源码
存在多交互场景或者具备一定演示效果的，上传录制视频

b. 小米安全团队会在“漏洞利用要求”中提及的环境中复现漏洞

漏洞复现成功，会确认漏洞与攻击场景成立
漏洞复现失败，会对漏洞利用链中有效的漏洞进行单独折算奖励

Part.02

漏洞确认

a. 漏洞的确认顺序以提交时间为依据，最先提交的报告将会优先确认，靠后提交的相同问题漏洞将不再重复确认

b. 对于 PoC 链中存在多个漏洞的场景中，如果出现部分漏洞重复的情况，则仅会对 PoC 链中非重复漏洞内容进行场景折算（例如：完整复现 POC 链中有 3 个漏洞，其中有一项未重复，则奖励为完整奖励的 1/3）

c. 如担心漏洞重复，提交前可向 security@xiaomi.com 先行提供漏洞片段信息，小米安全团队进行确认

四

漏洞奖励计算

Part.01

奖励计算原则

对于每个确认的漏洞将按照下列公式计算最终的漏洞奖励金额：

最终奖励金额 = （基础奖励 - 重复场景扣减）x 交互条件奖励折算系数 x 漏洞影响削弱奖励折算系数 + 挑战项奖金（成功达成前提）

本次活动奖池总奖金 100 万人民币，若最终结果超过奖池 100 万上限，则对奖励进行等比稀释。

Part.02

交互条件奖励折算说明

如提交的漏洞需要诱导用户点击链接、钓鱼邮件等行为才能触发，则需要按照下列要求对奖励进行折算。

交互条件分为无交互、弱交互和强交互三种类型，具体说明如下：

Part.03

漏洞影响削弱奖励折算说明

受漏洞的利用难度、利用条件、使用场景和影响范围等因素的影响，尽管提报漏洞能够在理论上具有一定的危害程度，但在较难的利用难度、苛刻的利用条件或有限的利用场景下，最终实际可产生的危害影响和理论上相比有一定的削弱时，将按照漏洞实际影响的情况对奖励进行折算。具体说明如下：

注意：以上所列典型案例仅作说明之用，并非详尽无遗，小米安全团队将视漏洞具体情况（利用难度、利用条件、造成影响范围以及使用场景等因素）进行判定。

五

其他注意事项

a. 本文涉及的术语及其概念如下：

远程：指在不安装应用或不实际接触设备的情况下利用漏洞实施攻击，包括通过网页浏览、阅读短信彩信、收发邮件、无线网络通信（不包括通信距离小于 10 厘米的短距通信）等方式。
近场通信：指 NFC、蓝牙。
本地：指利用漏洞实施攻击需要在受害系统中安装应用、通过 adb或者需要物理接触设备。此类型漏洞不参与守护计划。
静默安装：指安装应用实现过程中，被攻击者完全无感知（备注：安装时有明确弹框或提示某应用下载，即用户可明确感知下载安装行为并不属于静默安装，此情况小米安全团队将视漏洞具体情况对漏洞评级和奖励）。

b. 远程批量将设备变砖漏洞在测试和验证中，不能对其他用户产生影响。若确实存在涉及影响大量用户设备的拒绝服务问题时，可将漏洞利用链路及相关细节以文档形式提交，由小米安全团队进行评定。（备注：三方基础组件自身所导致的漏洞，小米安全团队将进一步评估，对于已知问题或已公开问题不予奖励）

c. 客户端与服务端交互的漏洞符合 WEB 层业务的按小米 SRC WEB 漏洞的评分标准评定，此类型漏洞不参与守护计划。

d. 需要提供完整的 POC 以及详细报告，若白帽子提供报告描述较为简单或不完整的 POC，若最终判定为有效漏洞，其定级和奖励会做降级处理。

e. 未经授权公布漏洞细节或提交给第三方等行为不予奖励，并追究法律责任。

f. 本次活动最终解释权归小米安全中心所有。

六

转发抽奖

关注小米安全中心公众号并转发本文至朋友圈

抽取3位小伙伴送出龙年米兔一个~

注：不可设置分组并将朋友圈保留至开奖前