Abo
  • IT-Karriere:

Microsoft: Bug Bounty Programm für .Net-Core und Asp.net

Microsoft startet ein Bug-Bounty-Programm für verschiedene auf .Net basierende Anwendungen. Wer Sicherheitslücken suchen will, sollte sich jedoch beeilen - und muss eine Reihe weiterer Vorgaben von Microsoft erfüllen.

Artikel veröffentlicht am ,
Microsoft will bis zu 15.000 US-Dollar für Sicherheitslücken bezahlen.
Microsoft will bis zu 15.000 US-Dollar für Sicherheitslücken bezahlen. (Bild: Screenshot Golem.de)

Microsoft fordert Sicherheitsforscher ab sofort auf, Lücken in den aktuellen Windows-Betaversionen von .Net CoreCLR und Asp.Net 5 zu melden. Das .Net-Framework ist seit November 2014 ein Open-Source-Projekt. Sicherheitsforscher sollen zwischen 500 und 15.000 US-Dollar erhalten - wenn die Forscher gute Lösungswege für kritische Probleme dokumentieren.

Stellenmarkt
  1. Hays AG, Berlin
  2. OEDIV KG, Bielefeld

Eingereicht werden können Sicherheitslücken, für die bislang kein Exploit vorliegt und die Microsoft oder der Sicherheitscommunity noch nicht bekannt sind. Bezahlt wird nach Schwere der gefundenen Sicherheitslücke und der Qualität des gelieferten Beitrages.

Bugs zur Rechteeskalation werden mit 10.000 US-Dollar belohnt

Für Xss-Lücken werden maximal 2.000 US-Dollar bezahlt, für Rechteeskalation (Elevation of Privilege) bis zu 10.000 US-Dollar. Für den Nachweis einer Remote-Code-Execution mit funktionierendem Exploit und mit hoher Qualität soll es bis zu 15.000 US-Dollar geben.

Das Bounty-Programm läuft ab sofort und endet am 15. Januar 2016. Warum Microsoft hier kein dauerhaftes Programm startet, ist unklar. Das Programm umfasst ausdrücklich nur Sicherheitslücken in den aktuellen Vorabversionen (Beta-Version und Release Candidate) von .Net-Core und Asp.net. Auch Verwundbarkeiten in anderen Plattformen, die .Net unter Umständen betreffen, sind nicht Teil des Programms.

CoreCLR ist eine Implementierung der Laufzeitumgebung von .Net-Core. Asp.net basiert auf dem .Net-Framework und wird genutzt, um dynamische Webseiten zu entwickeln. Beide Projekte finden sich auf Github.



Anzeige
Top-Angebote
  1. 79,00€
  2. 999,00€ + Versand
  3. (u. a. GTA 5 12,49€, GTA Online Cash Card 1,79€)
  4. (aktuell u. a. Dell-Notebook 519€, Dell USB-DVD-Brenner 34,99€)

bofhl 22. Okt 2015

Bitte mal genauer lesen: dabei handelt es sich um BETA-Programme und nicht um Release...

bofhl 22. Okt 2015

Das sind Beta-Programme und keine in der Produktion einzusetzende Systeme! Da wird...


Folgen Sie uns
       


Red Magic 3 - Test

Das Red Magic 3 richtet sich an Gamer - dank der Topausstattung und eines Preises von nur 480 Euro ist das Smartphone aber generell lohnenswert.

Red Magic 3 - Test Video aufrufen
Endpoint Security: IT-Sicherheit ist ein Cocktail mit vielen Zutaten
Endpoint Security
IT-Sicherheit ist ein Cocktail mit vielen Zutaten

Tausende Geräte in hundert verschiedenen Modellen mit Dutzenden unterschiedlichen Betriebssystemen. Das ist in großen Unternehmen Alltag und stellt alle, die für die IT-Sicherheit zuständig sind, vor Herausforderungen.
Von Anna Biselli

  1. Datendiebstahl Kundendaten zahlreicher deutscher Firmen offen im Netz
  2. Metro & Dish Tisch-Reservierung auf Google übernehmen
  3. Identitätsdiebstahl SIM-Dieb kommt zehn Jahre in Haft

In eigener Sache: Golem.de bietet Seminar zu TLS an
In eigener Sache
Golem.de bietet Seminar zu TLS an

Der Verschlüsselungsexperte und Golem.de-Redakteur Hanno Böck gibt einen Workshop zum wichtigsten Verschlüsselungsprotokoll im Netz. Am 24. und 25. September klärt er Admins, Pentester und IT-Sicherheitsexperten in Berlin über Funktionsweisen und Gefahren von TLS auf.

  1. In eigener Sache Zweiter Termin für Kubernetes-Seminar
  2. Leserumfrage Wie können wir dich unterstützen?
  3. In eigener Sache Was du schon immer über Kubernetes wissen wolltest

FPM-Sicherheitslücke: Daten exfiltrieren mit Facebooks HHVM
FPM-Sicherheitslücke
Daten exfiltrieren mit Facebooks HHVM

Server für den sogenannten FastCGI Process Manager (FPM) können, wenn sie übers Internet erreichbar sind, unbefugten Zugriff auf Dateien eines Systems geben. Das betrifft vor allem HHVM von Facebook, bei PHP sind die Risiken geringer.
Eine Exklusivmeldung von Hanno Böck

  1. HHVM Facebooks PHP-Alternative erscheint ohne PHP

    •  /