Microsoftは米国時間1月17日、コード開発のコラボレーションを目的とするクラウドベースのプラットフォーム「Azure DevOps」を対象としたバグ報奨金プログラムを新たに開始したと発表した。同プログラムはAzure DevOpsのセキュリティ向上を支援したいリサーチャーに向けたものであり、報奨金の最高額は2万ドル（約220万円）だという。
Microsoft Security Response Center（MSRC）のシニアプログラムマネージャーであるJarek Stanley氏によると、この新プログラムは「Azure DevOpsを使用しているわれわれの顧客に盤石のセキュリティをもたらすことに特化している」という。
報奨金の額は500ドル（約5万5000円）〜2万ドル（約220万円）となっている。遠隔地からのコード実行（RCE）を可能にする脆弱性のうち、深刻度が「緊急」と判断されたものは、報告の質（低、中、高）に応じてそれぞれ1万ドル（約110万円）、1万5000ドル（約164万円）、2万ドル（約220万円）がもらえるとされている。
提供：Microsoft
またMicrosoftは特権昇格や情報漏えい、なりすまし、システム改ざんに関する脆弱性の報告についても報奨金の対象になるとしている。
さらにクロスサイトスクリプティング（XSS）の脆弱性や、クロスサイトリクエストフォージェリ（CSRF）、クロステナントのデータの改ざんやアクセス、オブジェクトに対する安全でない直接参照、安全でないデシリアリゼーション、インジェクション関係の脆弱性、サーバ側でのコード実行、セキュリティ上のあらゆる「重大な」誤設定（ユーザーによる場合を除く）も対象となっている。
なお、サービス拒否（DoS）攻撃に関する脆弱性は対象外となっており、報奨金は支払われない。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
