Безопасность

Microsoft серьёзно относится к безопасности наших программных продуктов и сервисов, включая все репозитории исходного кода, управляемые через наши организации GitHub, которые включают Microsoft, Azure, DotNet, AspNet, Xamarin и наши организации GitHub.

Если вы считаете, что обнаружили уязвимость в любом репозитории, принадлежащем Microsoft, которая соответствует определению уязвимости безопасности Microsoft, пожалуйста, сообщите нам об этом, как описано ниже.

Сообщение о проблемах безопасности

Пожалуйста, не сообщайте об уязвимостях безопасности через публичные проблемы GitHub.

Вместо этого, пожалуйста, сообщите о них в Центр реагирования на угрозы безопасности Microsoft (MSRC) по адресу https://msrc.microsoft.com/create-report.

Если вы предпочитаете отправить сообщение без входа в систему, отправьте электронное письмо на адрес secure@microsoft.com. Если возможно, зашифруйте ваше сообщение с помощью нашего ключа PGP; пожалуйста, загрузите его со страницы Страница ключа PGP Центра реагирования на угрозы безопасности Microsoft.

Вы должны получить ответ в течение 24 часов. Если по какой-то причине вы его не получили, пожалуйста, повторите попытку по электронной почте, чтобы убедиться, что мы получили ваше исходное сообщение. Дополнительную информацию можно найти на сайте microsoft.com/msrc.

Пожалуйста, включите запрошенную информацию, указанную ниже (насколько вы можете предоставить), чтобы помочь нам лучше понять природу и масштаб возможной проблемы:

• Тип проблемы (например, переполнение буфера, SQL-инъекция, межсайтовый скриптинг и т. д.)
• Полные пути исходного файла(ов), связанного с проявлением проблемы
• Расположение затронутого исходного кода (тег/ветка/фиксация или прямой URL)
• Любая специальная конфигурация, необходимая для воспроизведения проблемы
• Пошаговые инструкции для воспроизведения проблемы
• Код доказательства концепции или эксплойта (если возможно)
• Влияние проблемы, включая то, как злоумышленник может использовать проблему

Эта информация поможет нам быстрее обработать ваш отчёт.

Если вы сообщаете о баге за вознаграждение, более полные отчёты могут способствовать увеличению вознаграждения. Пожалуйста, посетите нашу страницу Программа вознаграждений за обнаружение ошибок Microsoft для получения более подробной информации о наших активных программах.

Предпочтительные языки

Мы предпочитаем, чтобы все коммуникации были на английском языке.

Политика

Microsoft следует принципу скоординированного раскрытия уязвимостей.