汽車產業網絡空間安全應急響應中心運營規則

1. CarSRC簡介

汽車產業網絡空間安全應急響應中心（簡稱CarSRC），連接·聯合 保護你的每一次出行。我們致力于連接安全專家和汽車廠家之間的關系，并在政府及主管部門的指導下聯合安全專家、安全廠商及汽車廠家的力量，建立應急響應平臺，為汽車產業網絡空間安全保障工作做出努力。

CarSRC，汽車產業網絡安全的開拓者，肩負著汽車產業的安全漏洞、黑客入侵的發現和處理工作；我們與安全專家們并肩而行，守護和捍衛全球億萬用戶的出行安全。

我們誠邀安全專家向我們反饋在汽車產業挖掘發現的網絡安全漏洞。對于幫助提升汽車產業網絡空間安全的安全專家，我們將給予您感謝和回饋。歡迎發送郵件到bug@carsrc.org向我們反饋您所挖掘到的安全漏洞。

2. 基本原則

1) CarSRC非常重視車聯網產品和業務的安全問題，我們承諾，每一位報告者反饋的問題都有專人進行跟進、分析和處理，并及時給予答復。

2) CarSRC承諾，對于每一位為汽車產業提升安全防護、保護用戶利益的安全專家，我們將給予感謝和回饋。

3) CarSRC嚴格禁止一切以漏洞測試為借口，利用安全漏洞進行破壞、損害用戶利益的黑客行為。

4) CarSRC嚴格禁止一切利用安全漏洞恐嚇用戶、攻擊競爭對手的行為。

5) CarSRC嚴禁在漏洞發現和測試、驗證過程中獲取數據超過25條（含）。

6) CarSRC嚴禁在漏洞發現和測試、驗證過程中增加、刪除、修改用戶文件、目錄、數據庫內容、結構。

7) CarSRC希望各企業和安全研究者一起加入到守護和捍衛全球億萬用戶的出行安全過程中來，一起為建設安全可靠的出行環境安全而努力。

3. 適用范圍

本流程適用于CarSRC平臺所收到的所有安全漏洞。

4. 實施日期

本文檔自發布之日起一周后實行。

5. 評分標準

安全漏洞主要包含三大部分的內容：互聯網漏洞、車輛制造系統和車機端漏洞。分別描述其評分標準。

5.1 互聯網漏洞評分標準

根據漏洞危害程度將漏洞等級分為嚴重、高危、中危、低危、無五個等級，每個等級評分如下：

【嚴重】：

1. 直接獲取核心系統權限漏洞，包括但不限于任意代碼執行、遠程命令執行、任意文件上傳獲取webshell、緩沖區溢出、SQL注入獲取系統權限漏洞等。

2. 核心系統業務邏輯漏洞，包括但不限于交易支付邏輯漏洞，獲取任意賬號管理權限漏洞，核心接口邏輯校驗漏洞等。

3. 核心業務數據泄露漏洞，包括但不限于核心DB的SQL注入漏洞，可獲取大量用戶身份信息，訂單信息、資金交易信息的接口權限校驗漏洞等。

4. 可致核心業務系統癱瘓的拒絕服務漏洞。

【高危】：

1. 重要接口權限失效，包括但不限于越權增刪改查其他用戶資源信息、未授權訪問重要系統后臺、重要系統任意文件讀取和下載漏洞等。

2. 敏感信息泄露漏洞，包括但不限于重要后臺賬號密碼泄露（包含弱口令）、重要系統源代碼泄露、非核心DB的SQL注入漏洞等。

3. 具有一定影響力的核心業務漏洞，包括但不限于易于利用的存儲XSS漏洞。

【中危】：

1. 非核心業務的普通越權操作。

2. 需要用戶交互方可影響的漏洞，包括但不限于反射型XSS，敏感操作的CSRF漏洞等。

【低危】：

1. 需要用戶交互方可影響的漏洞，包括但不限于反射型XSS（同一個應用由于同一原因造成多個XSS漏洞算作一個）。

2. 普通的信息泄露，包括但不限于客戶端明文密碼存儲等。

3. URL跳轉漏洞。

4. 確定存在，但是無法實際利用的漏洞。包括但不限于無法獲取數據的SQL注入點等。

【無】：

1. 輕微的信息泄露，包括但不限于網站路徑信息，banner信息，SVN信息，phpinfo信息等。

2. 需要用戶交互方可影響的漏洞，包括但不限于非敏感操作的CSRF。

3. 不涉及安全問題的功能缺陷。包括但不限于頁面亂碼，靜態資源文件遍歷，頁面樣式不兼容，測試頁面等。

4. 未經驗證的掃描器掃描結果，無意義的源碼泄漏，內網IP/域名泄漏等。

5. 無法復現，或者不能反映出漏洞影響的問題。

5.2 車輛制造系統漏洞評分標準

根據漏洞危害程度將漏洞等級分為嚴重、高危、中危、低危四個等級，每個等級評分如下：

【嚴重】：

1. 獲取核心系統權限漏洞，包括但不限于任意代碼執行、遠程命令執行、緩沖區溢出等漏洞，導致大量核心生產數據泄露，生產鏈路控制等。

2. 核心業務數據泄露漏洞，包括但不限于核心系統賬號泄露（包含弱口令）、核心接口權限失效等漏洞，導致客戶數據、廠商生產數據、重要零部件設計數據等泄露。

3. 可致核心業務系統癱瘓的拒絕服務漏洞，導致生產鏈路中斷。

【高危】：

1. 重要接口權限失效，包括但不限于未授權訪問重要系統后臺、重要系統任意文件讀取和下載漏洞等。

2. 敏感信息泄露漏洞，包括但不限于重要后臺賬號密碼泄露、重要系統源代碼泄露等。

【中危】：

1. 非核心業務的普通權限操作漏洞。

2. 普通的信息泄露。

【低危】：

1. 輕微的信息泄露。

2. 確定存在，但是無法實際利用的漏洞。包括但不限于無法獲取敏感數據的接口權限漏洞等。

5.3 車機端漏洞評分標準

根據漏洞危害程度將漏洞等級分為嚴重、高危、中危、低危四個等級，每個等級評分如下：

【嚴重】：

1. 遠程獲取車載網關、T-BOX、遠程診斷系統、車載娛樂系統等系統特權，導致獲取車內關鍵組件單元（底盤控制系統、高級輔助駕駛系統等）的控制權的漏洞。包括但不限于遠程命令執行，任意代碼執行等漏洞。

2. 關鍵車載設備的遠程拒絕服務漏洞，包括不限于以下設備：底盤控制系統，遠程診斷系統、氣囊系統、動力系統、ADAS高級輔助駕駛系統、雷達系統、胎壓檢測系統等。

3. 遠程未授權刷新汽車關鍵組件單元固件，例如T-BOX、車載網關等固件。

注：遠程指的是通過4G、WIFI、藍牙、NFC和RFID等非物理接觸方式。

【高危】：

1. 遠程獲取重要組件單元的系統特權，如車身控制系統（儀表盤、舒適系統、燈光控制系統以及防盜系統等）。包括但不限于遠程命令執行，任意代碼執行等漏洞。

2. 非關鍵車載設備的拒絕服務漏洞，如車身控制系統（儀表盤、舒適系統、燈光控制系統以及防盜系統等）。

3. 本地通過OBD等接口獲取車載網關、T-BOX、遠程診斷系統、車載娛樂系統等系統特權，導致獲取車內關鍵組件單元（底盤控制系統、雷達系統、高級輔助駕駛系統等）的控制權的漏洞。

【中危】：

1. 通過車載娛樂系統等獲取車輛及用戶敏感信息，如用戶身份信息、車輛標識信息、行車記錄信息等敏感信息。

2. 一般車載設備的拒絕服務漏洞，如定位系統、車載娛樂系統、舒適系統、電池管理、疲勞監測系統、雷達系統等。

【低危】：

1. 繞過系統安全訪問限制，但未造成實際危害的漏洞。

2. 通過車輛組件單元漏洞獲取車輛及用戶非敏感信息，如耗油量、胎壓、車輛運行數據等信息。

6. 獎勵發放標準

6.1 安全幣換算

安全幣=基礎安全幣*應用系數

安全幣換算比例：

1安全幣=10RMB

6.2 互聯網漏洞獎勵標準

基礎安全幣：

嚴重（10-9）、高危（8-6）

中危（5-3）、低危（2-1）

應用系數：

核心/廠商（10）、一般/廠商（4）

邊緣/廠商（1）、微小應用/廠商（0.5）

例如：某大型車企核心應用任意文件上傳獲取系統權限漏洞，計算方法為：

安全幣100=基礎安全幣（嚴重:10）*應用系數（核心:10）

安全幣對應表：

6.3 車輛制造系統和車機端漏洞獎勵標準

基礎安全幣：

嚴重（100-50）、高危（40-10）

中危（9-5）、（低危3-1）

應用類型：

大型廠商（10）、小眾廠商（4）

廠商類型以應用量為準。

額外獎勵：

對于影響巨大的車輛制造系統和車機端的漏洞，CarSRC會額外給予2萬-5萬RMB獎勵，并且 CarSRC會以漏洞報告者的名義向該組件官方發出報告，幫助其改進軟件安全性。

6.4 其他獎勵

為感謝您對汽車產業網絡安全做出的貢獻，CarSRC將不定期舉行活動，用以增加白帽子的活躍度，活動形式多樣，不限于以下形式：安全沙龍、禮品發放、禮品卡、現金紅包等。活動的舉辦將通過CarSRC公告，敬請留意。

1) 常規獎勵

我們會根據每位用戶提交審核通過的不同級別的漏洞，設置每個級別對應的獎勵。

2) 季度獎勵

在每個季度結束后15個工作日內發布獎勵公告，20個工作日內發放獎勵。

該部分獎勵是對每季度對CarSRC有突出貢獻的安全專家獎勵，獎勵評判標準如下：

當季度提交漏洞中，由CarSRC評選高質量漏洞獎，數量不限；若當季度沒有高質量漏洞，則該獎勵可以為空。

3) 年度獎勵

獎勵公告當年12月進行統計并發布，獎勵發放時間以公告時間為準。

4) 榮譽稱號

7. 評分標準通用原則

1) 評分標準僅適用于汽車產業網絡安全業務。與此無關的漏洞，不做處理。

2) 以漏洞測試、證明危害性為借口，利用漏洞進行損害用戶利益、深入系統獲取敏感數據、影響業務正常運作、修復前公開、盜取用戶數據等行為的，將不予計分，同時會采取進一步法律行動的權利。

3) 同一漏洞最早提交者得分，其他提交者均不計分。

4) 由同一個漏洞源引起的多個漏洞只算做一個漏洞。

5) 網上已經公開的以及在其他平臺披露過的漏洞不作計分，如有發現重復提交，扣除對應漏洞積分。

6) 對已修復的漏洞，安全專家利用新的技術再次繞過安全防護規則，按新漏洞計分。

7) 最終業務等級的評定結果由廠商確定。

8) 以上解釋權歸CarSRC所有。

8. 爭議解決辦法

在漏洞情報處理過程中，如果報告者對處理流程、漏洞評分等具有異議的，請通過郵件及時溝通。CarSRC將根據漏洞情報報告者利益優先的原則進行處理，必要時可引入外部人士共同裁定。

來源：汽車產業安全應急響應中心