Redmond zahlt weitere 100k $ Kopfgeld für Exploits

Im Rahmen des Bug Bounty-Programms hat Microsoft jetzt wieder 100.000 US-Dollar für die Aufdeckung eines Sicherheitsproblems ausgezahlt. Genauer gesagt waren es drei Exploit-Varianten, die ein Hacker eingereicht hatte. Die Prämie geht an einen jungen Mann: Yang Yu, ein asiatischer Sicherheitsspezialist, ist erst der zweite Hacker, der seit dem Start des Programms Mitte 2013 die volle Summe ausgezahlt bekommen hat. Redmond hat am Freitag bekannt gegeben, wieder Schwachstellen durch das Bug Bounty Programm aufgedeckt zu haben (via Thread Post).

Derzeit ist noch nicht bekannt, was Yu genau aufgedeckt hat. Aus guten Gründen: die drei Sicherheitslücken werden zuerst gefixt, bevor näheres an die Öffentlichkeit weiter gegeben wird. Zumindest gehört der Passus der Geheimhaltung mit zum Microsoft Bounty Programm. Die Sicherheitslücken werden unter "Mitigation Bypass Variants" zusammengefasst und können allerlei Einfallstore beschreiben, die zum Ausführen von Schadcode führen.

Um sich für die Auszahlung des höchsten Kopfgeldes von 100.000 US-Dollar zu qualifizieren, müssen die gemeldeten Sicherheitslücken unter anderem Anwendungen und Ausführungsfälle betreffen, die ein breites Publikum betreffen. Im Oktober hatte James Forshaw für zwei Windows-Exploits die Rekordsumme abgestaubt. Damals wurde ein Problem mit dem zufälligen Adressraum-Aufbau (Address Space Layout Randomization, kurz ASLR) und eines mit der Datenausführungsverhinderung (Data Execution Prevention, DEP) aufgedeckt.

Der Software-Konzern hat sein eigenes Kopfgeld-Programm erst recht spät aufgelegt. Zuvor hatte man darauf vertraut, dass sicherheitsrelevante Probleme schnell gemeldet wurden. In der Realität gehen aber sehr viele Bug-Meldungen heutzutage über Broker, die für die Entdecker Geld herausschlagen wollen. Um den Anreiz zu vergrößern, Bugs wieder direkt zu melden, sind die konzerneigenen Bounty-Programme (zu deutsch Kopfgeld-Programme) ein beliebtes Mittel.

Microsoft war bis Mitte 2013 recht zurückhaltend, was das Angebot Geld gegen Bug angeht. Nun sollen bereits über 253.000 US-Dollar ausgezahlt worden sein.