Безопасность

Microsoft серьёзно относится к безопасности наших программных продуктов и сервисов, включая все репозитории исходного кода, управляемые через наши организации GitHub, такие как Microsoft, Azure, DotNet, AspNet, Xamarin и наши организации GitHub.

Если вы считаете, что обнаружили уязвимость в безопасности любого репозитория, принадлежащего Microsoft, которая соответствует определению уязвимости безопасности Microsoft, пожалуйста, сообщите нам об этом, как описано ниже.

Сообщение о проблемах безопасности

Пожалуйста, не сообщайте об уязвимостях безопасности через публичные проблемы GitHub.

Вместо этого, пожалуйста, сообщите о них в Центр реагирования на угрозы безопасности Microsoft (MSRC) по адресу https://msrc.microsoft.com/create-report.

Если вы предпочитаете отправить сообщение без входа в систему, отправьте электронное письмо на адрес secure@microsoft.com. Если возможно, зашифруйте ваше сообщение с помощью нашего ключа PGP; пожалуйста, загрузите его со страницы PGP Key MSRC.

Вы должны получить ответ в течение 24 часов. Если по какой-то причине вы его не получили, пожалуйста, повторите попытку по электронной почте, чтобы убедиться, что мы получили ваше исходное сообщение. Дополнительную информацию можно найти на сайте microsoft.com/msrc.

Пожалуйста, включите запрошенную информацию, указанную ниже (насколько это возможно), чтобы помочь нам лучше понять природу и масштаб возможной проблемы:

• Тип проблемы (например, переполнение буфера, SQL-инъекция, межсайтовый скриптинг и т. д.).
• Полные пути исходного файла (файлов), связанного с проявлением проблемы.
• Расположение затронутого исходного кода (тег/ветка/коммит или прямой URL).
• Любая специальная конфигурация, необходимая для воспроизведения проблемы.
• Пошаговые инструкции для воспроизведения проблемы.
• Доказательство концепции или код эксплойта (если возможно).
• Влияние проблемы, включая то, как злоумышленник может использовать проблему.

Эта информация поможет нам быстрее обработать ваш отчёт.

Если вы сообщаете о проблеме для программы вознаграждения за обнаружение ошибок, более полные отчёты могут способствовать получению более высокой награды. Пожалуйста, посетите нашу страницу Программа вознаграждения за ошибки Microsoft для получения более подробной информации о наших активных программах.

Предпочтительные языки

Мы предпочитаем, чтобы все коммуникации были на английском языке.

Политика

Microsoft следует принципу скоординированного раскрытия уязвимостей.