Zabezpieczenia

Firma Microsoft poważnie traktuje zabezpieczenia swoich produktów i usług dotyczących oprogramowania, co obejmuje wszystkie repozytoria kodu źródłowego zarządzane za pośrednictwem naszych organizacji GitHub, takich jak Microsoft, Azure, DotNet, AspNet, Xamarin i nasze organizacje GitHub.

Jeśli uważasz, że w którymś z repozytoriów należących do firmy Microsoft udało Ci się wykryć lukę w zabezpieczeniach, która spełnia definicję luki w zabezpieczeniach firmy Microsoft, poinformuj nas o tym w sposób opisany poniżej.

Zgłaszanie problemów z zabezpieczeniami

Nie zgłaszaj luk w zabezpieczeniach jako publicznych problemów z usługą GitHub.

Zamiast tego zgłoś je do Centrum zabezpieczeń firmy Microsoft (MSRC) pod adresem https://msrc.microsoft.com/create-report.

Jeśli wolisz zgłosić problem bez logowania, wyślij wiadomość e-mail na adres secure@microsoft.com. Jeśli to możliwe, zaszyfruj wiadomość przy użyciu naszego klucza PGP. Można go pobrać ze strony dotyczącej klucza PGP w Centrum zabezpieczeń firmy Microsoft.

Odpowiedź wysyłamy zazwyczaj w ciągu 24 godzin. Jeśli z jakiegoś powodu nie otrzymasz odpowiedzi, wyślij do nas wiadomość e-mail, aby upewnić się, że otrzymaliśmy oryginalną wiadomość. Dodatkowe informacje można znaleźć na stronie microsoft.com/msrc.

W miarę możliwości dołącz żądane informacje wymienione poniżej (jak najwięcej), abyśmy mogli lepiej zrozumieć charakter i zakres ewentualnego problemu:

• Typ problemu (np. przepełnienie buforu, wstrzyknięcie kodu SQL, skrypty krzyżowe itp.)
• Pełne ścieżki plików źródłowych związanych z objawem problemu
• Lokalizacja kodu źródłowego, którego dotyczy problem (tag/gałąź/zatwierdzenie lub bezpośredni adres URL)
• Każda konfiguracja specjalna niezbędna do odtworzenia problemu
• Szczegółowe wskazówki umożliwiające odtworzenia problemu
• Weryfikacja koncepcji lub kod z luką bezpieczeństwa (w miarę możliwości)
• Wpływ problemu, w tym sposób wykorzystania go przez hakera

Te informacje pomogą nam szybciej sklasyfikować przesłany raport.

Jeśli zgłaszasz swoją kandydaturę do nagrody za wykrywanie usterek, bardziej szczegółowe raporty mogą przyczynić się do zwiększenia wartości nagrody. Odwiedź stronę programu nagród za wykrywanie usterek firmy Microsoft, aby uzyskać więcej informacji na temat naszych aktywnych programów.

Preferowane języki

Preferujemy prowadzenie wszelkiej komunikacji w języku angielskim.

Zasady

Firma Microsoft przestrzega zasady skoordynowanego ujawniania luk w zabezpieczeniach.