Microsoft kondigt een beloning van maximaal $ 20.000 aan onder het Xbox Bug Bounty-programma

Microsoft heeft de lancering aangekondigd van het Xbox Bounty-programma voor gamers en cyberbeveiligingsonderzoekers om beveiligingsproblemen in het Xbox Live-netwerk en -services te helpen identificeren. In een blogpost die donderdag werd gepubliceerd, zei het bedrijf dat het doel van het bugbounty-programma is "Om significante kwetsbaarheden te ontdekken die een directe en aantoonbare impact hebben op de veiligheid van de klanten van Microsoft", en gekwalificeerde inzendingen komen in aanmerking voor bounty-beloningen van $ 500 tot $ 20.000.

Zoals bij de meeste bugbounty-programma's, moeten de kwetsbaarheden eerder niet worden gerapporteerd en moeten ze op het moment van verzending reproduceerbaar zijn op de nieuwste, volledig gepatchte versie van het Xbox Live-netwerk en de services van het bedrijf. Ze zullen ook rechtstreeks van invloed moeten zijn op de beveiliging van Xbox-gebruikers, wat betekent dat fouten in de uitvoering van externe code die qua ernst de hoogste prioriteit hebben, de maximale beloning opleveren. Anderen, zoals verhoging van privileges, het omzeilen van beveiligingsfuncties en spoofing, zullen kleinere beloningen verdienen tussen $ 1.000 en $ 5.000.

Kwetsbaarheden die buiten het bereik vallen, zijn onder meer Denial-of-Service-problemen, omdat onderzoekers hiervoor DoS / DDoS-tests moeten uitvoeren, waardoor de services van het bedrijf worden verstoord. Het bedrijf zegt ook dat openbaarmaking van informatie aan de serverzijde, CSRF-bugs met lage impact, overnames van subdomeinen, kwetsbaarheden voor het opnieuw afspelen van cookies, eenvoudige URL-omleidingen en alles wat betrekking heeft op phishing of social engineering-aanvallen op Microsoft-werknemers of -klanten, ook niet in aanmerking komen voor beloningen onder de programma.

Het Xbox-bugbounty-programma komt slechts een paar maanden nadat het bedrijf een soortgelijk programma heeft uitgerold voor zijn Chromium-gebaseerde Edge-browser, met beloningen tot $ 30.000 voor cyberbeveiligingsonderzoekers die kwetsbaarheden kunnen vinden in de dev- en bètakanalen van de software. . Het bedrijf voert ook een aantal andere van dergelijke programma's uit voor Windows, Office, .NET en meer, maar de hoogste beloningen zijn gereserveerd voor kwetsbaarheidsrapporten op Azure-cloudservices en Hyper-V-virtualisatieservers.