Microsoft разшири обхвата на своята програма за откриване на уязвимости (.NET Bug Bounty Program) и повиши максималните парични награди до 40 000 долара за критични уязвимости в .NET и ASP.NET Core. Целта на промените е по-добре да се отрази сложността при откриване и експлоатация на такива слабости, както и да се насърчи участието на изследователската общност.
„С вълнение обявяваме значителни промени в програмата .NET Bounty. Те разширяват обхвата ѝ, опростяват структурата на наградите и предлагат по-добри стимули за изследователите по сигурността“, заяви Маделин Екърт, старши мениджър в екипа за стимули и награди към Microsoft.
Какви са новите нива на възнаграждение?
-
До $40 000 за критични уязвимости, позволяващи отдалечено изпълнение на код (RCE) или ескалация на привилегии.
-
До $30 000 за критични заобикаляния на защитни механизми.
-
До $20 000 за критични уязвимости, водещи до отдалечено отказване на услуга (DoS).
Разширен обхват на програмата
Новата програма включва:
-
Всички поддържани версии на .NET и ASP.NET.
-
Свързани технологии като F#.
-
ASP.NET Core за .NET Framework.
-
Официалните темплейти на Microsoft за .NET и ASP.NET Core.
-
GitHub Actions в публичните .NET и ASP.NET Core хранилища.
Повишен фокус върху сигурността на ИИ
През 2025 г. Microsoft вече обяви повишаване на наградите до $30 000 за уязвимости в ИИ платформите Power Platform и Dynamics 365. През февруари бе въведен и 100% бонус за всички докладвани уязвимости, свързани с Microsoft Copilot. Това цели да насърчи ИИ сигурността като приоритетна област за изследователите.
Част от Secure Future Initiative
Разширените програми за награди и инициативи като хакерското събитие Zero Day Quest с фонд от 4 млн. долара са част от мащабната програма Secure Future Initiative (SFI). Стартирана през ноември 2023 г., тя е отговор на критичен доклад на Съвета за преглед на киберсигурността към Министерството на вътрешната сигурност на САЩ, който посочи, че културата на сигурност в Microsoft е „недостатъчна и се нуждае от основна промяна“.
