日本マイクロソフト株式会社は4月14日、影響の大きいシナリオにおけるマイクロソフトのバグ報奨金プログラムの拡大について同社ブログで発表した。同ブログはExpanding High Impact Scenario Awards for Microsoft Bug Bounty Programsの抄訳となっている。


　マイクロソフトでは、「Microsoft Dynamics 365 and Power Platform Bounty Program」と「M365 Bounty Program」にシナリオベースの報奨金を追加し、研究者が顧客のプライバシーとセキュリティに最も大きな影響を与える可能性のある脆弱性の研究に集中できることを奨励している。対象となるシナリオが提出された場合は、最大30%（合計$26,000 USD）増額となる。

　シナリオと報奨金は下記の通り。

・Microsoft Dynamics 365 and Power Platform Bounty Program
シナリオ：テナント間の情報漏えい
最高額：$20,000

・M365 Bounty Program
対象となる報告には、一般的なM365の報奨金に加え15～30%の報奨金を得ることができる。

シナリオ：信頼できない入力によるリモートコード実行 (CWE-94 “Improper Control of Generation of Code (‘Code Injection’)”)
最高額：+30%

シナリオ：信頼できない入力によるリモートコード実行 (CWE-502 “Deserialization of Untrusted Data”)
最高額：+30%

シナリオ：許可されていないテナント間およびID 間の機密データ漏洩(CWE-200 “Exposure of Sensitive Information to an Unauthorized Actor”)
最高額：+20%

シナリオ：許可されていないID 間の機密データ漏洩(CWE-488“Exposure of Data Element to Wrong Session”)
最高額：+20%

シナリオ：認証を回避してリソースにアクセスする実用的な攻撃に利用可能な ”Confused deputy (混乱した使節の問題)” の脆弱性(CWE-918 “Server-Side Request Forgery (SSRF)”)
最高額：+15%

元の記事を読む

編集部おすすめ