Wielkie polowanie na nowe podatności. Microsoft wypłaca nawet 250 tys. dolarów

Wielkie polowanie na nowe podatności. Microsoft wypłaca nawet 250 tys. dolarów

Autor: Krzysztof Sulikowski

Opublikowano: 3/15/2018, 4:43 PM

Liczba odsłon: 1704

Microsoft wystartował z kolejnym w swojej historii programem tropienia podatności. Na odkrywców czekają spore sumy pieniężne. Akcja jest pokłosiem niedawnych skandali spod szyldu Spectre i Meltdown, bowiem Microsoft wyszczególnia tu całkiem nową kategorię podatności, mających swoje źródło w warstwie sprzętowej i stanowiących potencjalne zagrożenie dla Windows, Azure czy Edge. Czego zatem szukać i ile można za to zgarnąć?

Microsoft bug bounty 2018

Nowy program polowania na bugi na pierwszym miejscu stawia nowe kategorie ataków - spekulatywnego wykonania (speculative execution attacks). Klasa ta została ujawniona w styczniu tego roku i odzwierciedla spore osiągnięcia badawcze na tym polu. By przystosować się do tych zmian (podatności w procesorach nie były znane od blisko dwóch dekad), Microsoft powołał nowy program dla poszukiwaczy podatności, który potrwa do 31 grudnia tego roku. Poszukiwania odbywać się będą na czterech poziomach:

  1. Nowe kategorie ataków spekulatywnego wykonania - wypłata do 250 tys. USD.
  2. Obejście zabezpieczeń Azure z udziałem spekulatywnego wykonania - wypłata do 200 tys. USD.
  3. Obejście zabezpieczeń Windows z udziałem spekulatywnego wykonania - wypłata do 200 tys. USD.
  4. Instancja znanej podatności spekulatywnego wykonania (np. CVE-2017-5753) w Windows 10 lub Microsoft Edge. Podatność musi umożliwiać wyciągnięcie wrażliwych informacji poprzez zaufaną granicę - wypłata do 25 tys. USD.

Microsoft wyjaśnia dalej, czym jest spekulatywne wykonanie i dlaczego chce wiedzieć o nim więcej: "To rzeczywiście nowa klasa podatności i spodziewamy się, że w toku są już badania eksplorujące nowe metody ataków. Ten program tropienia błędów został pomyślany jako sprzymierzeniec tych badań i skoordynowanych ujawnień podatności powiązanych z tymi problemami". Ciekawie wyjaśnia to również Intel. Microsoft uważa, że podatności tego typu wymagają odpowiedzi ze strony przemysłu, dlatego będzie się dzielić wynikami z producentami, których podatności te dotykają, by wspólnie opracowywać rozwiązania.