Opportunità di guadagno: Microsoft paga fino a 40 mila dollari se trovi bug su .NET

L'azienda di Redmond ha rivisto completamente la struttura dei compensi del .NET Bounty Program, elevando sostanzialmente gli importi destinati ai ricercatori di sicurezza che individuano e segnalano vulnerabilità nel framework di sviluppo. Le ricompense partono ora da un minimo di 7.000 dollari e possono arrivare fino a 40.000 dollari per le segnalazioni più critiche e complete.

Il programma premia principalmente la scoperta di vulnerabilità in .NET e ASP.NET Core, includendo Blazor e Aspire. Le nuove categorie di prodotti coperti comprendono tutte le versioni supportate di .NET e ASP.NET, ASP.NET Core per .NET Framework, i template forniti con le tecnologie menzionate, GitHub Actions nei repository correlati e tecnologie adiacenti come F#.

Il nuovo sistema di ricompense di Microsoft è strutturato per gravità e qualità

La nuova struttura prevede diverse categorie principali di vulnerabilità, ciascuna con ricompense differenziate in base alla gravità (critica o importante) e alla completezza della documentazione fornita. Le vulnerabilità di esecuzione di codice remoto (RCE) e di elevazione dei privilegi (EoP) rappresentano le categorie più remunerate, con premi che possono raggiungere i 40.000 dollari quando accompagnate da documentazione completa e classificate come critiche.

Per ottenere la ricompensa massima, i ricercatori devono fornire una divulgazione privata della vulnerabilità accompagnata da documentazione dettagliata che dimostri chiaramente l'impatto e le modalità di sfruttamento. Anche le segnalazioni incomplete possono comunque essere ricompensate con importi significativi, partendo da 7.000 dollari e arrivando a 20.000 dollari a seconda della tipologia di vulnerabilità identificata.

Le altre categorie premiate includono il bypass delle funzioni di sicurezza, gli attacchi Denial of Service remoti, lo spoofing o la manomissione dei dati, la divulgazione di informazioni e la presentazione di documentazione o esempi di codice non sicuri. Anche per queste tipologie, gli importi sono calibrati in base alla gravità dell'impatto e alla qualità della documentazione fornita.