Csúnyán spórol a biztonsági kutatókon a Microsoft

Computer hacker, conceptual image.

Másfél éve meghökkentően alacsony jutalmakkal szúrja ki a szemeiket.

Nagy megbotránkozást keltett tegnap a hír, miszerint Abdelhamid Naceri biztonsági kutató a szabványos iparági eljárásokat figyelmen kívül hagyva példakóddal együtt nyilvánosságra hozott egy sebezhetőséget, amellyel jogosultságkiterjesztés érhető el a Windows összes támogatott változatán. A hiba eredeti változatát jelezte a Microsoftnak, az elvileg ki is javította a Windowsokhoz novemberben kiadott összegző frissítésekben, ám rossz munkát végzett, a kutatónak sikerült kikerülnie a patchet.

A kép csak illusztráció Forrás: AFP/Science Photo Library/Igor Stevanovic

A támadó kód publikálása rendkívül szokatlan, Naceri azzal indokolta a lépést, hogy a bug bounty programján keresztül a Microsoft túlságosan keveset fizet a sérülékenységeket felfedezett biztonsági kutatóknak. Ezzel az akcióval próbálta felhívni a figyelmet a problémára, ám ezzel további veszélynek tette ki a Windowst használó magánszemélyeket, vállalkozásokat, állami szervezeteket.

Az egyetlen jó hír, hogy sikerült elérnie a célját, a hírek szerint 2020 áprilisában a Microsoft tényleg drámaian visszavágta a biztonsági kutatóknak kifizetett jutalmak összegét. A WannaCry ransomware megállítása kapcsán híressé vált Marcus Hutchins például tavaly júliusban panaszkodott, hogy az általa bejelentett nulladik napi hibáért eredetileg 10 ezer dollár jutalmat fizetett volna cég, ám a megváltozott szabályok miatt végül ezer dollárt adott neki.

Under Microsoft's new bug bounty program one of my zerodays has gone from being worth $10,000 to $1,000

— MalwareTech (@MalwareTechBlog) July 27, 2020

Egy másik kutató szemét a Microsoft most novemberben 5000 dollárral szúrta ki egy szerveres környezetben kihasználható, távoli kódfuttatásos sebezhetőségért, ami a helyzet súlyosságát tekintve meghökkentően alacsony összeg.

BE CAREFUL! Microsoft will reduce your bounty at any time! This is a Hyper-V RCE vulnerability be able to trigger from a Guest Machine, but it is just eligible for a $5000.00 bounty award under the Windows Insider Preview Bounty Program. Unfair! @msftsecresponse
@msftsecuritypic.twitter.com/sJw3cjsliF

— rthhh (@rthhh17) November 9, 2021

Az alacsony jutalmak komoly aggodalmakat vetnek fel a Microsoft bug bounty programjának komolyságával kapcsolatban. A kutatók nagy szakértelmet igénylő és rendkívül időigényes munkát végeznek, a cég pedig megengedheti magának, hogy tisztességes jutalmakkal honorálja az erőfeszítéseiket.

A sérülékenységek jelentésével a biztonsági kutatók globálisan több milliárd személy és megszámlálhatatlan mennyiségű szervezet érdekeinek a megvédésében nyújtanak óriási segítséget.

Senkinek sem érdeke, hogy a túlságosan alacsony jutalmak miatt befejezzék a sebezhetőségek keresését a Microsoft termékeiben, egyesek ne adj' isten inkább bűnözőknek, államilag szponzorált hackereknek értékesítsék a talált hibákat a sötét weben.

Ha szeretne még több érdekes techhírt olvasni, akkor kövesse az Origo Techbázis Facebook-oldalát, kattintson ide!