Microsoft inicia programa de recompensas para buscar errores de ejecución especulativa

21/03/2018

Microsoft desea que investigadores de seguridad busquen y reporten vulnerabilidades de canal lateral de ejecución especulativa (una clase de vulnerabilidad de hardware que afecta CPU de múltiples industrias), así como los errores que pueden ser utilizados de forma incorrecta para sobrepasar mitigaciones de Windows y Azure para Spectre y Meltdown.

La compañía esta dispuesta a pagar más de $250,000 dólares.

Nuevo programa de recompensas

El programa de recompensas por la búsqueda de vulnerabilidades de canal lateral de ejecución especulativa fue anunciado el miércoles y estará abierta hasta el 31 de diciembre de 2018.

“La ejecución especulativa es una nueva clase de vulnerabilidad, y esperamos que la investigación ya esté en marcha explorando nuevos métodos de ataque. Este programa de recompensas pretende ser una nueva forma para fomentar la investigación y el descubrimiento coordinado de vulnerabilidades relacionadas a estos problemas”, dice Phillip Misner, Gerente principal del grupo de seguridad del centro de respuesta de seguridad de Microsoft.

Además anunció que las vulnerabilidades de canal lateral de ejecución especulativa requieren una respuesta de la industria, por lo que Microsoft compartirá la investigación descubierta con este programa con las partes involucradas y colaborará con ellas para resolver las vulnerabilidades.

La compañía quiere conocer sobre una variedad de errores e invita presentaciones en:

  • Una nueva categoría de ataques de ejecución de la que Microsoft y otros socios de la industria no están conscientes.
  • Un nuevo método de sobrepasar una mitigación impuesta por un hypervisor, host o invitado usando un ataque canal lateral de ejecución especulativa. Por ejemplo, este podría incluir una técnica que puede leer memoria sensible de otro invitado en la máquina virtual del atacante en Azure.
  • Un nuevo método de sobrepasar la mitigación impuesta por Windows usando un ataque de canal lateral de ejecución especulativa.  “Específicamente, esto involucraría sobrepasar las mitigaciones de Windows por CVE-2017-5715 (Branch target injection) y CVE-2017-5754 (rogue data cache load). Estas formas de sobrepasar demuestran que es posible descubrir información sensible cuando estas mitigaciones son presentadas y habilitadas”, la compañía notificó.
  • Un nuevo método de evitar una mitigación impuesta por el Microsoft Edge usando un ataque canal lateral de ejecución especulativa. Por ejemplo, este podría incluir una técnica que lee memoria sensible del contenido de Microsoft Edge.

Recompensas

Para la primera categoría, la cantidad de la recompensa puede variar entre $100,000 y $250,000 dólares; para el segundo y tercer lugar $100,000 y $200,000; y para el último $5,000 y$25,000.

Naturalmente, la cantidad final otorgada dependerá de qué tan aplicable es el ataque de canal lateral de ejecución especulativa, la dificultad para ejecutarlo, qué tan confiable es el exploit y el impacto del ataque.

Para más detalles sobre el programa de recompensa por búsqueda de errores haga clic aquí.

Con este anuncio, Microsoft sigue los pasos de Intel, que comenzó un programa de recompensas el mes pasado e incitó a los investigadores a buscar vulnerabilidades en el hardware de Intel, pero que pueden ser explotadas a través de software.

Artículos relacionados: