XL ISR Bug Bounty Program
XL
Rp0 ~ Rp7.000.000Total rewardDescription
PT XL Axiata
PT XL Axiata Tbk (formerly PT Excelcomindo Pratama Tbk), is an Indonesia-based mobile telecommunications services operator headquartered at Jakarta. It is the second largest mobile telecommunications company in Indonesia. The operator’s coverage includes Java, Bali, and Lombok as well as the principal cities in and around Sumatra, Kalimantan and Sulawesi. XL offers data communication, broadband Internet, mobile communication and 3G services over GSM 900 and GSM 1800 networks.
Initially, XL provided cellular mobile telephony services using the GSM 900 technology. A few years after launching services, the company was awarded a license for implementing a DCS 1800 network, and to operate an ISP and VoIP service. In 2006, XL obtained a 3G license, which services launched in September of the same year.
At the end of 2010, the company had more than 22,000 BTS towers across Indonesia. XL is the second largest mobile network operator in Indonesia, with a subscriber’s strength of 55.1 million users.
PT XL Axiata
PT XL Axiata Tbk (sebelumnya PT Excelcomindo Pratama Tbk), adalah operator layanan telekomunikasi seluler berbasis di Indonesia yang berkantor pusat di Jakarta. Ini adalah perusahaan telekomunikasi seluler terbesar kedua di Indonesia. Cakupan operator meliputi Jawa, Bali, dan Lombok serta kota-kota utama di dan sekitar Sumatera, Kalimantan, dan Sulawesi. XL menawarkan layanan komunikasi data, Internet broadband, komunikasi seluler dan 3G melalui jaringan GSM 900 dan GSM 1800.
Awalnya XL menyediakan layanan telepon seluler dengan menggunakan teknologi GSM 900. Beberapa tahun setelah meluncurkan layanan, perusahaan diberikan lisensi untuk mengimplementasikan jaringan DCS 1800, dan untuk mengoperasikan layanan ISP dan VoIP. Pada tahun 2006, XL memperoleh lisensi 3G yang layanannya diluncurkan pada bulan September tahun yang sama.
Hingga akhir 2010, perseroan memiliki lebih dari 22.000 menara BTS di seluruh Indonesia. XL adalah operator jaringan seluler terbesar kedua di Indonesia, dengan kekuatan pelanggan 55,1 juta pengguna.
Target info
SCOPE
The targets included in this program are web applications and mobile applications with the URL that can be access at the link below:
Web Application: https://www.isr.xl.co.id/
**WARNING:
- Disclosing all kinds of vulnerabilities / submissions in this program to the public are prohibited, Researchers who do so will be banned and all awards will be annulled in this program **
* XL also want to know the vulnerability in other targets that are out of scope but can have a CRITICAL / HIGH impact on XL, either directly or indirectly (for example through 3rd party apps). For this reason, if researcher finds a new target outside the list listed above that has a CRITICAL / HIGH risk, please contact the RedStorm team via email to be considered for a reward*
RULE OF THE GAME
Reporting must go through the ’Submit Report’ feature on the RedStorm web application by including evidence and how to exploit it.
The level of risk from the findings can be selected and considered by the researcher provided are:
- P1 - Critical
- P2 - High
- P3 - Moderate
- P4 - Low
- P5 - Information / Other
The points to be awarded by the system are:
- P1 - 100
- P2 - 50
- P3 - 20
- P4 - 10
- P5 - 5
Prizes / rewards that will be given depend on considerations of security risks following the following scheme:
- P1 - IDR 7,000,000 (+ Points)
- P2 - IDR 3,000,000 (+ Points)
- P3 - Points
- P4 - Points
- P5 - Points
GUIDELINES FOR CONDUCT
RedStorm wants to create a business environment that is safe and upholds ethical professionalism.
For this reason, there are three main aspects that every security researcher who participates in programs on our platform should pay attention to:
- CONFIDENTIALITY - All reported security vulnerabilities should not leak into public spaces.
- INTEGRITY - Only report security issues that are deemed valid and do not use the findings of the security vulnerabilities for tampering purposes. If there is more than 1 report regarding the same security problem, then the first one to report will be considered valid.
- PROFESSIONALISM - Security researchers are fully responsible for the findings reported and should be contacted if necessary for explanation or other complementary information.
ACCEPTANCE CRITERIA
Submission process
If you believe you have found a security vulnerability, please file a report for the program concerned through RedStorm platform.
Any security vulnerability report submissions will be treated with high priority, including when the report is validated, when we need more information from you, or when you qualify for a reward. Each submission is evaluated by us on a first-in first-served basis.
* Basic Rules *
RedStorm is committed to protecting the interests of security researchers.
The more your behavior follows these rules, the more we can protect you in the event of an uneasy disclosure situation.
Each program can have varying rules.
Please carefully read the Program Summary for specific regulations, if any.
However, the following rules apply to all programs:
- Research that is carried out should only be on systems listed under the ’Scope’ section of the Program Brief. Any other system is beyond its scope.
- Unless otherwise stated in the Program Summary, you must create test accounts for research purposes.
- Submissions must be made EXCLUSIVELY through RedStorm to be considered a prize.
- Submission-related communications must remain within RedStorm or the official RedStorm support channels during the disclosure process.
- Actions that affect the integrity of the target program or destabilize it are prohibited. If you notice a decrease in performance on the target system, you should immediately suspend all use of automated tools.
- The submission must have impact on the target’s security posture. Impact means a reported issue affecting the target user, system, or data security in a significant way. Researcher can be asked to keep the impact confidential in order to be eligible for the prize.
- Submissions may be closed if the researcher is not responsive to requests for additional information after 7 business days.
- The existence or details of programs are private or invitation may not be communicated to anyone who is not a RedStorm employee or an authorized employee of the organization responsible for the program.
- We encourage researchers to include videos or screenshots (proof-of-concept) in reporting security vulnerabilities. These files may not be shared publicly. This includes uploading to any website that is publicly accessible (like Vimeo, Imgur, etc.). If the file exceeds 50 MB, upload the file to a secure online folder such as Dropbox that is protected with password.
- The RedStorm Disclosure Policy applies to all submissions made through the RedStorm platform, including for Duplicate, Out of Scope, and Not Applicable findings reports. Program owners can choose a Disclosure, Coordinated Disclosure, or Specific Information Disclosure Policy to apply to their program summary. Please see our Additional Disclosure Policy for details on the different Public Disclosure Policies on RedStorm.
- If a researcher wishes to retain disclosure rights for vulnerabilities that are outside the scope of a program’s scope, he or she must report the problem to the relevant vendor directly. RedStorm can assist researchers in identifying suitable email addresses to contact. Program owners are encouraged to ensure that their program coverage includes all the critical components for which they wish to receive vulnerability reports.
- Violation of the disclosure policies stated by the program may result in enforcement action as outlined in the RedStorm Terms of Service.
Violation of these rules may result in the cancellation of delivery and confiscation of all prizes, both for current and future programs on the RedStorm platform.
* Types of Accepted Submission *
Below are the types of submission that are preferred to be accepted:
- Broken authentication
- Multi Factor Auth Bypass
- OTP Bypass (Untrusted Devices)
- Bypass Authorization Schema
- SQL Injection
- XSS Injection
- Sensitive Data Exposure
- Business Logic
- Cross-Site Request Forgery (HIGH-CRIT ACTION)
- Server Side Request Forgery
- Remote Code Execution
- Local File Disclosure
- Server Side Injection Templates
* Types of Submission Excluded *
Some types of submissions are excluded because they are dangerous to assess, or because they have a low security impact on program owners. This section contains issues that XL cannot accept, which will immediately be marked invalid and not rewarded.
- Findings from physical testing such as office access (eg open doors, tailgating).
- Findings originating from social engineering or social engineering (eg phishing, vishing).
- Findings from applications or systems that are not listed in the ’Scope’ section.
- Functional, UI and UX bugs and misspellings (typos).
- Denial-of-service (DoS or DDoS) vulnerabilities at the network level.
- General submission types that do not include qualifications
Several types of submissions we rate do not qualify for prizes because they have a low security impact for program owners.
Below is a list of issues that are commonly reported and reproducible but do not meet the requirements.
We strongly advise you not to report this problem unless you can demonstrate a possible attack with valid security implications for program owners.
- Descriptive error messages (eg stack traces, application or server errors).
- HTTP 404 code / page or other non-200 HTTP code / page.
- Banner disclosure on public services.
- Disclosure of known public files or directories (eg Robots.txt).
- Click-jacking and problems that are only exploited through it.
- CSRF on a form available to anonymous users (eg contact form).
- Login / Logout CSRF.
- Presence of an application or an ’auto-complete’ or ’save password’ function in a web browser.
- Lack of Secure and HttpOnly flags on cookies.
- Lack of security speed bumps when leaving the website.
- Weak captcha or bypass captcha.
- Enumeration of username/msisdn via login page error message.
- Enumerate username/msisdn via the message ’Forgot Password’.
- Brute force on the login page or on the forgot your password page and result in account lockout.
- HTTP TRACE option enabled.
- SSL attacks such as BEAST, BREACH, or around a renegotiation vulnerability.
- SSL forward secrecy.
- SSL which supports cipher suite algorithms is not secure.
- MIME-Sniffing or X-Content-Type-Options header.
- HTTP security header not found.
- Invalid or missing SPF (Sender Policy Framework) records or related to other e-mails (SPF / DKIM / DMARC).
- Automated scanning results using tools such as vulnerability scanners (Nessus, nikto, Qualys, OpenVAS, Core Impact, Acunetix, Nexpose, SecureCheq, Retina, MBSA, HIAB, and so on) even though the results include a potential security risk.
- Absence of Rate Limitation
- API Key / Secret disclosure
Out of Scope bugs for mobile application:
- Any URIs leaked because a malicious app has permission to view URIs opened.
- Lack of Exploit mitigations i.e., PIE, ARC, or Stack Canaries.
- Absence of certificate pinning.
- Path disclosure in the binary.
- Lack of binary protection control in android app.
- User data stored unencrypted on the file system/external storage.
- Sensitive data in URLs/request bodies when protected by TLS.
- Lack of obfuscation.
- Lack of rooted/jailbreak detection.
- Crashes due to malformed Intents sent to exported Activity/Service/BroadcastReceiver (exploiting these for sensitive data leakage is commonly in scope).
- Any kind of sensitive data stored in app private directory.
- Runtime hacking exploits that are only exploitable on your own device using tools like such as Frida/ Appmon (exploits only possible in a rooted environment).
PROGRAM REWARDS
You will be eligible for a prize if you are the first to report a previously unknown AND vulnerability to code or configuration that could impact to code changes, configuration changes or data changes. Rewards will be sent periodically every month.
CAKUPAN
Target yang termasuk dalam program ini berupa web dan aplikasi mobile dengan URL dibawah ini:
Web Application: https://www.isr.xl.co.id/
**PERINGATAN:
- Dilarang untuk mendisclose segala macam vulnerability/submission yang ada di program ini ke publik, Researcher yg melakukannya akan di ban dan semua bentuk penghargaannya akan di anulir di dalam program ini**
XL juga berkeinginan untuk mengetahui risiko dalam target lainnya yang out of scope tapi dapat berdampak CRITICAL/HIGH pada XL baik secara langsung maupun tidak langsung (misalkan melalui 3rd party apps). Untuk itu apabila researcher menemukan sebuah target baru diluar dari daftar yang tertulis diatas yang mempunyai risiko CRITICAL/HIGH maka harap menghubungi tim RedStorm melalui email untuk dipertimbangkan untuk mendapatkan reward
ATURAN MAIN
Perlaporan harus melalui fitur ’Kirim Laporan’ pada aplikasi web RedStorm dengan menyertakan bukti serta cara melakukan eksploitasi.
Tingkat risiko dari temuan dapat dipilih dan dipertimbangkan oleh peneliti dengan ketentuan:
- P1 - Kritikal
- P2 - Tinggi
- P3 - Sedang
- P4 - Rendah
- P5 - Bersifat Informasi/Lainnya
Poin yang akan diberikan secara sistem adalah:
- P1 - 100
- P2 - 50
- P3 - 20
- P4 - 10
- P5 - 5
Hadiah/reward yang akan diberikan tergantung dari pertimbangan risiko keamanan mengikuti skema berikut:
- P1 - IDR 7,000,000 (+ Points)
- P2 - IDR 3,000,000 (+ Points)
- P3 - Points
- P4 - Points
- P5 - Points
PANDUAN PERILAKU
RedStorm ingin menciptakan lingkungan usaha yang aman serta menjunjung tinggi etika profesionalisme.
Untuk itu, terdapat tiga aspek utama yang perlu diperhatikan oleh setiap peneliti keamanan yang berpartisipasi dalam program pada platform kami:
- KERAHASIAAN (CONFIDENTIALITY) — Semua kerentanan keamanan yang dilaporkan tidak boleh bocor ke ruang publik.
- INTEGRITAS (INTEGRITY) — Hanya melaporkan permasalahan keamanan yang dianggap valid dan tidak menggunakan temuan kerentanan keamanan tersebut untuk tujuan merusak. Apabila terdapat lebih dari 1 laporan mengenai permasalahan keamanan yang sama, maka yang pertama melaporkan yang akan dianggap valid.
- PROFESIONALISME (PROFESSIONALISM) — Peneliti keamanan bertanggung jawab penuh atas temuan yang dilaporkan dan harus dapat dihubungi apabila diperlukan informasi penjelas atau pelengkap lainnya.
KRITERIA LAPORAN YANG DITERIMA
Proses Pengiriman
Jika Anda yakin telah menemukan kerentanan keamanan (security vulnerability), silakan mengajukan laporan untuk program terkait melalui platform RedStorm.
Setiap pengiriman laporan kerentanan keamanan akan diperlakukan dengan prioritas tinggi, termasuk ketika laporan divalidasi, ketika kami membutuhkan lebih banyak informasi dari Anda, atau ketika Anda memenuhi syarat untuk mendapatkan hadiah.
Setiap pengiriman dievaluasi oleh kami atas dasar first-in first-served.
Peraturan Dasar
RedStorm berkomitmen untuk melindungi kepentingan para peneliti keamanan.
Semakin perilaku Anda mengikuti aturan ini, semakin kami dapat melindungi Anda jika terjadi situasi pengungkapan yang tidak mudah.
Setiap program dapat memiliki peraturan yang bervariasi.
Harap baca dengan cermat Ringkasan Program untuk peraturan khusus, jika ada.
Hanya saja, sejumlah peraturan berikut ini berlaku untuk semua program:
- Penelitian harus dilakukan hanya pada sistem yang terdaftar di bawah bagian ’Pengarahan’ pada Program Brief. Sistem selain itu adalah di luar ruang lingkup.
- Kecuali jika dinyatakan lain dalam Ringkasan Program, Anda harus membuat akun pengujian untuk tujuan penelitian.
- Pengajuan harus dilakukan secara EKSKLUSIF melalui RedStorm untuk dapat dipertimbangkan sebagai hadiah.
- Komunikasi terkait pengiriman harus tetap berada dalam RedStorm atau saluran dukungan RedStorm resmi selama proses pengungkapan (disclosure).
- Tindakan yang mempengaruhi integritas atau mengganggu stabilitas target program adalah dilarang. Jika Anda melihat penurunan kinerja pada sistem target, Anda harus segera menangguhkan semua penggunaan alat otomatis.
- Pengajuan harus berdampak pada postur keamanan target. Dampak berarti masalah yang dilaporkan mempengaruhi pengguna target, sistem, atau keamanan data dengan cara yang berarti. Pengirim dapat diminta untuk merahasiakan dampak agar memenuhi syarat untuk mendapatkan hadiah.
- Pengajuan dapat ditutup jika peneliti tidak responsif terhadap permintaan informasi tambahan setelah 7 hari kerja.
- Keberadaan atau perincian program bersifat pribadi atau undangan tidak boleh dikomunikasikan kepada siapa pun yang bukan karyawan RedStorm atau karyawan yang berwenang dari organisasi yang bertanggung jawab atas program tersebut.
- Kami mendorong para peneliti untuk menyertakan video atau screenshot (proof-of-concept) dalam pelaporan kerentanan keamanan. Semua file ini tidak boleh dibagikan secara publik. Ini termasuk mengunggah ke situs web apa pun yang dapat diakses publik (seperti Vimeo, Imgur, dll.). Jika file melebihi 50 MB, unggahlah file tersebut ke folder online yang aman seperti Dropbox dengan dilindungi oleh kata sandi (password).
- Kebijakan Pengungkapan RedStorm berlaku untuk semua pengiriman yang dilakukan melalui platform RedStorm, termasuk untuk laporan temuan yang bersifat Duplicate, Out of Scope, dan Not Applicable. Pemilik program dapat memilih Kebijakan Pengungkapan, Pengungkapan Terkoordinasi, atau Pengungkapan Informasi Khusus untuk diterapkan pada ringkasan program mereka. Silakan lihat Kebijakan Pengungkapan Tambahan kami untuk detail tentang Kebijakan Pengungkapan Publik yang berbeda di RedStorm.
- Jika seorang peneliti ingin mempertahankan hak pengungkapan untuk kerentanan yang berada di luar ruang lingkup cakupan suatu program, dia harus melaporkan masalah tersebut ke vendor terkait secara langsung. RedStorm dapat membantu peneliti dalam mengidentifikasi alamat email yang sesuai untuk dihubungi. Pemilik program didorong untuk memastikan bahwa cakupan program mereka telah mencakup semua komponen penting yang ingin mereka terima laporan kerentanannya.
- Pelanggaran terhadap kebijakan pengungkapan yang dinyatakan oleh program dapat mengakibatkan tindakan penegakan sebagaimana diuraikan dalam Ketentuan Layanan RedStorm.
Pelanggaran terhadap peraturan ini dapat mengakibatkan pembatalan pengiriman dan penyitaan semua hadiah, baik untuk program yang saat ini berjalan maupun untuk masa mendatang di platform RedStorm.
Jenis Kiriman yang Diterima
Dibawah ini jenis jenis kiriman yang diutamakan diterima:
- Broken authentication
- Multi Factor Auth Bypass
- OTP Bypass (Untrusted Devices)
- Bypass Authorization Schema
- SQL Injection
- XSS Injection
- Sensitive Data Exposure
- Business Logic
- Cross-Site Request Forgery (HIGH-CRIT ACTION)
- Server Side Request Forgery
- Remote Code Execution
- Local File Disclosure
- Server Side Template Injection
Jenis Kiriman yang Dikecualikan
Beberapa jenis pengiriman dikecualikan karena mereka berbahaya untuk dinilai, atau karena mereka memiliki dampak keamanan yang rendah kepada pemilik program. Bagian ini berisi masalah yang tidak dapat diterima oleh XL, yang akan segera ditandai sebagai tidak valid dan tidak mendapatkan hadiah.
- Temuan dari pengujian fisik seperti akses kantor (misalnya pintu terbuka, tailgating).
- Temuan yang berasal dari rekayasa sosial atau social engineering (misalnya phishing, vishing).
- Temuan dari aplikasi atau sistem yang tidak terdaftar di bagian ‘Target’.
- Bug fungsional, UI, dan UX serta kesalahan ejaan (typo).
- Kerentanan denial-of-service (DoS ataupun DDoS) pada tingkat jaringan (network).
- Jenis pengajuan umum yang tidak termasuk kualifikasi
Beberapa jenis pengajuan kami nilai tidak memenuhi syarat untuk hadiah karena mereka memiliki dampak keamanan yang rendah bagi pemilik program.
Di bawah ini adalah daftar masalah yang pada umumnya dilaporkan dan dapat direproduksi, tetapi tidak memenuhi syarat.
Kami sangat menyarankan Anda untuk tidak melaporkan masalah ini kecuali Anda dapat menunjukkan serangan yang dapat dilakukan disertai dengan dampak keamanan yang valid bagi pemilik program.
- Pesan kesalahan deskriptif (misalnya stack traces, kesalahan aplikasi atau server).
- Kode/halaman HTTP 404 atau kode/halaman non-200 HTTP lainnya.
- Pengungkapan spanduk (banner disclosure) pada layanan umum.
- Pengungkapan file publik atau direktori yang dikenal (misalkan Robots.txt).
- Click-jacking dan masalah yang hanya dieksploitasi melaluinya.
- CSRF pada formulir yang tersedia untuk pengguna anonim (misalnya formulir kontak).
- Login/Logout CSRF.
- Kehadiran aplikasi atau fungsi ‘pelengkap otomatis‘ atau ‘simpan sandi’ pada web browser.
- Kurangnya flag Secure dan HttpOnly pada cookie.
- Kurangnya speed bump keamanan saat meninggalkan situs web.
- Captcha yang lemah atau mem-bypass captcha.
- Enumerasi nama pengguna atau nomor telepon melalui pesan kesalahan halaman login.
- Enumerasi nama pengguna atau nomor telepon melalui pesan ‘Lupa Kata Sandi‘.
- Brute force pada halaman login atau pada halaman lupa kata sandi halaman serta mengakibatkan account lockout.
- Opsi HTTP TRACE yang diaktifkan.
- Serangan SSL seperti BEAST, BREACH, atau sekisar renegotiation vulnerability.
- SSL forward secrecy.
- SSL yang mendukung algoritma cipher suite tidak aman.
- Header MIME-Sniffing atau X-Content-Type-Options.
- HTTP security header yang tidak ditemukan.
- Invalid or missing SPF (Sender Policy Framework) records atau yg berkaitan dengan email lainnya (SPF/DKIM/DMARC).
- Hasil pemindaian otomatis (automated scanning) menggunakan tool seperti vulnerability scanner (Nessus, nikto, Qualys, OpenVAS, Core Impact, Acunetix, Nexpose, SecureCheq, Retina, MBSA, HIAB, dan sebagainya) meskipun hasilnya mencantumkan potensi risiko keamanan.
- Tidak adanya Rate Limit
- Temuan yang mendapatkan API Key / Secret
Bug Out of Scope untuk aplikasi mobile:
- URI apa pun yang bocor karena aplikasi berbahaya yang memiliki izin untuk melihat URI yang dibuka.
- Kurangnya mitigasi Eksploitasi yaitu, PIE, ARC, atau Stack Canaries.
- Tidak adanya Certificate Pinning.
- Path disclosure dalam Binary.
- Kurangnya kontrol perlindungan biner di aplikasi android.
- Data pengguna disimpan tidak terenkripsi di file system/penyimpanan eksternal.
- Data sensitif di URL / body request saat dilindungi oleh TLS.
- Kurangnya Obfuscation.
- Kurangnya deteksi root/jailbreak.
- Crash karena format Intent yang salah dikirim ke Activity / Service / BroadcastReceiver yang diekspor (mengeksploitasinya untuk kebocoran data sensitif biasanya dalam cakupan).
- Segala jenis data sensitif yang disimpan dalam direktori pribadi aplikasi.
- Eksploitasi peretasan runtime yang hanya dapat dieksploitasi di perangkat Anda sendiri menggunakan alat seperti Frida / Appmon (eksploitasi hanya mungkin di lingkungan yang di-rooting).
IMBALAN PROGRAM
Anda akan memenuhi syarat untuk hadiah jika Anda adalah orang pertama yang melaporkan untuk masalah yang sebelumnya tidak diketahui DAN menyangkut kerentanan pada kode atau konfigurasi yang dapat berdampak pada perubahan kode, konfigurasi, atau data.
Pengiriman imbalan akan dilakukan berkala setiap sebulan sekali.
Reward
This program adheres to the RedStorm Vulnerability Rating Taxonomy for the prioritization/rating of findings. if relevant, the deviations from the VRT shoul be listed here in a markdown table:
| P1 POINT REWARD | 100 | Rp7.000.000 |
| P2 POINT REWARD | 50 | Rp3.000.000 |
| P3 POINT REWARD | 20 | Rp0 |
| P4 POINT REWARD | 10 | Rp0 |
| P5 POINT REWARD | 5 | Rp0 |