Microsoft: Bug Bounty Programm für .Net-Core und Asp.net

Microsoft startet ein Bug-Bounty-Programm für verschiedene auf .Net basierende Anwendungen. Wer Sicherheitslücken suchen will, sollte sich jedoch beeilen - und muss eine Reihe weiterer Vorgaben von Microsoft erfüllen.

Artikel veröffentlicht am 21. Oktober 2015, 16:00 Uhr, Hauke Gierow

Microsoft will bis zu 15.000 US-Dollar für Sicherheitslücken bezahlen. (Bild: Screenshot Golem.de)

Microsoft fordert Sicherheitsforscher ab sofort auf, Lücken in den aktuellen Windows-Betaversionen von .Net CoreCLR und Asp.Net 5 zu melden. Das .Net-Framework ist seit November 2014 ein Open-Source-Projekt. Sicherheitsforscher sollen zwischen 500 und 15.000 US-Dollar erhalten - wenn die Forscher gute Lösungswege für kritische Probleme dokumentieren.

Eingereicht werden können Sicherheitslücken, für die bislang kein Exploit vorliegt und die Microsoft oder der Sicherheitscommunity noch nicht bekannt sind. Bezahlt wird nach Schwere der gefundenen Sicherheitslücke und der Qualität des gelieferten Beitrages.

Bugs zur Rechteeskalation werden mit 10.000 US-Dollar belohnt

Für Xss-Lücken werden maximal 2.000 US-Dollar bezahlt, für Rechteeskalation (Elevation of Privilege) bis zu 10.000 US-Dollar. Für den Nachweis einer Remote-Code-Execution mit funktionierendem Exploit und mit hoher Qualität soll es bis zu 15.000 US-Dollar geben.

Das Bounty-Programm läuft ab sofort und endet am 15. Januar 2016. Warum Microsoft hier kein dauerhaftes Programm startet, ist unklar. Das Programm umfasst ausdrücklich nur Sicherheitslücken in den aktuellen Vorabversionen (Beta-Version und Release Candidate) von .Net-Core und Asp.net. Auch Verwundbarkeiten in anderen Plattformen, die .Net unter Umständen betreffen, sind nicht Teil des Programms.

CoreCLR ist eine Implementierung der Laufzeitumgebung von .Net-Core. Asp.net basiert auf dem .Net-Framework und wird genutzt, um dynamische Webseiten zu entwickeln. Beide Projekte finden sich auf Github.