Безопасность

Microsoft серьезно относится к безопасности наших программных продуктов и услуг, что включает все репозитории исходного кода, управляемые через наши организации GitHub, включая Microsoft, Azure, DotNet, AspNet, Xamarin и наши организации GitHub.

Если вы считаете, что нашли уязвимость безопасности в любом репозитории, принадлежащем Microsoft, который соответствует определению Microsoft уязвимости безопасности, пожалуйста, сообщите об этом, как описано ниже.

Сообщение о проблемах безопасности

Пожалуйста, не сообщайте о проблемах безопасности через публичные GitHub-issues.

Вместо этого сообщите об этом в Центр отклика Microsoft Security (MSRC) по адресу https://msrc.microsoft.com/create-report.

Если вы предпочитаете отправить сообщение без регистрации, отправьте электронное письмо на secure@microsoft.com. Если возможно, зашифруйте ваше сообщение с помощью нашего PGP-ключа; пожалуйста, загрузите его с страницы PGP-ключа Центра отклика Microsoft Security.Вы должны получить ответ в течение 24 часов. Если по какой-то причине вы этого не получили, пожалуйста, напишите письмо для убедения в том, что мы получили ваше первоначальное сообщение. Дополнительная информация доступна по адресу microsoft.com/msrc.Пожалуйста, включите запрошенную информацию (столько, сколько вы можете предоставить), чтобы помочь нам лучше понять природу и масштаб возможной проблемы:

• Тип проблемы (например, переполнение буфера, SQL-инъекция, кросс-сайт скриптинг и т.д.)
• Полные пути исходных файлов, связанных с проявлением проблемы
• Местоположение затронутого исходного кода (тег/ветка/коммит или прямой URL)
• Любое специальное конфигурирование, необходимое для воспроизведения проблемы
• Шаги пошагового руководства по воспроизведению проблемы
• Пример доказательства или код эксплоита (если возможно)
• Влияние проблемы, включая то, как злоумышленник может воспользоваться ей

Эта информация поможет нам быстрее отреагировать на ваш отчет. Если вы отправляете отчет в рамках программы багбони, более полные отчеты могут повлиять на увеличение размера вознаграждения. Пожалуйста, посетите нашу страницу программы Microsoft Bug Bounty для получения дополнительной информации о наших активных программах.

Предпочитаемые языки

Мы предпочитаем все коммуникации на английском языке.

Политика

Microsoft следует принципу координации уведомлений о уязвимостях.