Microsoft attribue sa première prime de 100,000 XNUMX $ pour une nouvelle vulnérabilité de sécurité

Microsoft a annoncé les nouveaux programmes de primes de sécurité il y a quelques mois et a maintenant versé plus de 128,000 100,000 $ à divers experts en sécurité du monde entier. Hier, Microsoft a annoncé sa toute première prime de XNUMX XNUMX $ pour James Forshaw pour avoir trouvé une nouvelle classe de technique d'attaque sur les produits Microsoft.

En savoir plus ci-dessous.

Félicitations à James Forshaw pour avoir trouvé une nouvelle technique d'exploitation pour obtenir notre toute première prime de 100,000 XNUMX $. Un chercheur en vulnérabilité de sécurité avec Sécurité des informations contextuelles, James est déjà venu avec des bogues de niveau de conception qu'il a trouvés lors de la IE11 Aperçu Bug Bounty, et nous sommes ravis de lui donner encore plus d'argent pour nous aider à améliorer notre sécurité à l'échelle de la plate-forme.

Par coïncidence, l'un de nos brillants ingénieurs chez Microsoft, Thomas Garnier, avait également trouvé une variante de cette classe de technique d'attaque. Les ingénieurs de Microsoft comme Thomas évaluent constamment les moyens d'améliorer la sécurité, mais la soumission de James était d'une telle qualité et décrivait d'autres variantes telles que nous voulions lui attribuer la totalité de la prime de 100,000 XNUMX $.

Bien que nous ne puissions pas entrer dans les détails de cette nouvelle technique de contournement d'atténuation tant que nous ne l'avons pas abordée, nous sommes ravis de pouvoir mieux protéger les clients en créant de nouvelles défenses pour les futures versions de nos produits, car nous avons découvert cette technique et ses variantes.

La raison pour laquelle nous payons tellement plus pour une nouvelle technique d'attaque que pour un bogue individuel est que l'apprentissage de nouvelles techniques de contournement d'atténuation nous aide à développer des défenses contre des classes entières d'attaques. Cette connaissance nous aide à rendre les vulnérabilités individuelles moins utiles lorsque les attaquants tentent de les utiliser contre les clients. Lorsque nous renforçons les mesures d'atténuation à l'échelle de la plate-forme, nous rendons plus difficile l'exploitation des bogues dans tous les logiciels qui s'exécutent sur notre plate-forme, pas seulement les applications Microsoft.

La source: Microsoft