Microsoft заплатила больше 374 тыс. долларов за найденные в Azure Sphere уязвимости

Корпорация Microsoft поделилась результатам 3-месячного конкурса Azure Sphere Security Research Challenge, в рамках которого участникам было выплачено в общей сложности более 374 000 долларов.

В рамках конкурса Azure Sphere Security Research Challenge, который был запущен в мае 2020 г., корпорация Microsoft приглашала ИБ-специалистов найти уязвимости в Azure Sphere, решении Microsoft для обеспечения безопасности IoT, которое технический гигант разработал для обеспечения сквозной безопасности оборудования, операционной системы и облака.

По результатам проведенного конкурса в Microsoft было направлено 40 отчетов об уязвимостях, 30 из которых привело к улучшению работы решения, а 16 имели право на вознаграждение за обнаружение ошибок. Максимальный размер вознаграждения за найденную уязвимость составил 48 тыс. долларов, минимальный – 3,3 тыс. долларов.

Интересно, что в конкурсе приняли участие не только независимые ИБ-специалисты, но и крупные поставщики решений для кибербезопасности:

• Avira;
• Baidu;
• Cisco;
• ESET;
• FireEye;
• F-Secure;
• HackerOne;
• McAfee;
• Palo Alto Networks и другие компании.

В Microsoft отдельно сообщают, что компании Cisco и McAfee обнаружили несколько наиболее интересных и нестандартных уязвимостей.

При этом компания McAfee опубликовала большой отчет с детальным описанием своих выводов, заявив, что ее сотрудниками было заработано в общей сложности 160 тыс. долларов, которые будут пожертвованы на благотворительность. Исследователям компании удалось получить root-доступ, объединив шесть ошибок, три из которых были признаны критическими. Результаты McAfee также включали ранее неизвестную уязвимость в ядре Linux.

Компания Cisco также описала уязвимости, обнаруженные ее сотрудниками. Они выявили более десятка проблем, включая: выполнение произвольного кода, отказ в обслуживании (DoS), раскрытие информации и недостатки повышения привилегий. Еще в августе компания Cisco опубликовала данные о некоторых уязвимостях, обнаруженных в Azure Sphere.