Microsoft ha aggiornato le regole dei suoi programmi di bug bounty, introducendo una nuova valutazione basata sulla completezza dei report per determinare le ricompense. L'obiettivo è migliorare l'efficienza nella gestione delle vulnerabilità.
Microsoft ha annunciato modifiche significative ai suoi programmi di bug bounty, con l'obiettivo di ottimizzare il processo di segnalazione e valutazione delle vulnerabilità di sicurezza. A partire dal 20 ottobre 2026, i ricercatori di sicurezza che segnalano difetti nei prodotti Microsoft dovranno aderire a nuove linee guida per la presentazione dei report, che influenzeranno direttamente l'ammontare delle ricompense ottenute.
Il Microsoft Security Response Center (MSRC) ha sostituito i precedenti livelli di qualità dei report con una valutazione binaria: "Completo" (Complete) o "Non Completo" (Not Complete). Questa semplificazione mira a stabilire aspettative più chiare per i ricercatori e a ridurre la necessità di richieste di informazioni aggiuntive da parte dei team MSRC e di ingegneria. L'intento è accelerare la riproduzione delle vulnerabilità, la valutazione del loro impatto e la successiva risoluzione.
Un report viene considerato "Completo" se include tutte le informazioni necessarie e le prove di supporto per consentire a Microsoft di comprendere, riprodurre e valutare la vulnerabilità senza ulteriori comunicazioni. Al contrario, un report "Non Completo" mancherà di uno o più elementi richiesti. È importante sottolineare che la valutazione di "Completo" non garantisce automaticamente una ricompensa più elevata, né implica che la vulnerabilità sia grave o rientri nell'ambito del programma. La completezza è un fattore distinto dalla severità e dall'impatto sulla sicurezza, che verranno valutati separatamente.
Per ottenere la qualifica di "Completo", i ricercatori devono fornire dettagli meticolosi. Questi includono: passi chiari per la riproduzione del difetto, una proof of concept (PoC) affidabile e minimale, e la specifica tipologia di vulnerabilità. È inoltre richiesta un'analisi tecnica dettagliata che, ove possibile, identifichi la causa principale del problema. I ricercatori dovranno specificare l'ambiente e la piattaforma interessati, le versioni pertinenti e il componente specifico colpito. Un aspetto cruciale è la spiegazione dell'exploitability, ovvero come un attaccante potrebbe sfruttare la vulnerabilità, indicando prerequisiti e condizioni necessarie.
La descrizione dell'impatto deve chiarire cosa un attaccante potrebbe ottenere e quali risorse o sistemi verrebbero compromessi. A seconda della categoria del prodotto e della classe di vulnerabilità, potrebbero essere richiesti artefatti specifici come crash dump, tracce di Time Travel Debugging, call stack, codice sorgente PoC, log di Process Monitor, packet capture e dimostrazioni video. Per alcune vulnerabilità, come quelle relative alla corruzione di memoria o al denial of service (DoS) nei prodotti on-premises, saranno necessari dati di crash e call stack. Le segnalazioni di reindirizzamento di file potrebbero richiedere log di Process Monitor, mentre le sottomissioni relative a coercizione e relay NTLM potrebbero necessitare di packet capture. Le segnalazioni di vulnerabilità AI dovranno continuare a seguire le linee guida specifiche di Microsoft per l'IA.
La valutazione di completezza si baserà esclusivamente sulla documentazione e sulle prove fornite nella sottomissione iniziale. Sebbene il MSRC possa richiedere chiarimenti, i ricercatori non dovrebbero fare affidamento su comunicazioni successive per stabilire la completezza iniziale del loro report. Di conseguenza, per massimizzare le potenziali ricompense, i ricercatori sono incoraggiati a includere fin da subito tutti gli elementi necessari: risultati riproducibili, analisi accurate e artefatti specifici per la vulnerabilità, consultando attentamente i requisiti applicabili a ciascun programma di bounty.
Queste modifiche rappresentano un passo importante per Microsoft nel tentativo di razionalizzare il proprio programma di bug bounty, incoraggiando al contempo una maggiore diligenza e qualità nella documentazione delle vulnerabilità da parte della comunità di ricercatori di sicurezza.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
