Στα $ 1,5 εκατομμύρια έφτασαν οι αμοιβές ερευνητών

Πάνω από μισό εκατομμύριο δολάρια έχουν δοθεί ως

αμοιβές σε



ερευνητές


ασφαλείας

που συμμετέχουν στο

bug bounty




πρόγραμμα

του GitHub

κατά τη διάρκεια του προηγούμενου έτους, φτάνοντας τα 1,5 εκατομμύρια δολάρια συνολικά.

Δείτε επίσης

: Hacker κέρδισε $ 2 εκατομμύρια σε bug bounty προγράμματα!

Το GitHub λειτουργεί το

GitHub Security Bug Bounty




πρόγραμμα

εδώ και επτά χρόνια.

Τα bug bounty προγράμματα είναι πλέον πολύ δημοφιλή και όλο και περισσότερες



εταιρείες

και



υπηρεσίες

ζητούν από



ερευνητές


ασφαλείας

να ψάξουν τα συστήματά τους για πιθανές



ευπάθειες

, έναντι αμοιβής.

“

Από το Φεβρουάριο του 2020 έως το Φεβρουάριο του 2021, χειριστήκαμε το μεγαλύτερο όγκο αναφορών από οποιοδήποτε προηγούμενο έτος

“,

λέει το GitHub

.

Συνολικά, υποβλήθηκαν

1.066 αναφορές σφαλμάτων

, κατά τη διάρκεια του τελευταίου έτους, στο δημόσιο και ιδιωτικό



πρόγραμμα

του GitHub (το τελευταίο επικεντρώνεται σε



προϊόντα

beta και άλλα



προϊόντα

που δεν έχουν κυκλοφορήσει ακόμα). Επίσης, δόθηκαν $ 524.250 για 203



ευπάθειες

. Από το 2016, που το GitHub ξεκίνησε το δημόσιο πρόγραμμά του στο

HackerOne

, οι ανταμοιβές έχουν πλέον φτάσει τα 1.552.004 $.

Δείτε επίσης

: GitHub: Οι developers θα ανεβάζουν

βίντεο

στα repositories τους

Το πεδίο εφαρμογής του bug bounty προγράμματος του GitHub περιλαμβάνει πολλά GitHub-owned domains και άλλα στοιχεία, όπως το GitHub API, Actions, Pages, and Gist. Η αναφορά κρίσιμων ευπαθειών (π.χ. αυτών που επιτρέπουν εκτέλεση κώδικα,



επιθέσεις

SQL και παράκαμψη διαδικασιών σύνδεσης), μπορεί να

αποφέρει στους ερευνητές έως και 30.000 $

.

Το GitHub λειτουργεί επίσης σύμφωνα με την αρχή

Safe Harbour

, η οποία λέει ότι οι κυνηγοί σφαλμάτων που αποκαλύπτουν



ευπάθειες

υπεύθυνα και σύμφωνα με τις



πολιτικές

των εταιρειών, προστατεύονται από πιθανές νομικές συνέπειες της έρευνάς τους.

Η



εταιρεία

είπε, επίσης, ότι τον τελευταίο χρόνο, μια open redirect



ευπάθεια

αποτέλεσε το “αγαπημένο” σφάλμα της πλατφόρμας. Ο

William Bowling

μπόρεσε να αναπτύξει ένα exploit το οποίο έδειξε πώς αυτή η



ευπάθεια

στο GitHub.com θα μπορούσε να θέσει σε κίνδυνο Gist user OAuth flows.

Δείτε επίσης

: Πώς να διαγράψετε εύκολα και γρήγορα ένα GitHub repository;

Ο Bowling κατάφερε να κερδίσει 10.000 $ για την αναφορά της συγκεκριμένης ευπάθειας.

Το GitHub απέκτησε, επίσης, την ιδιότητα του

CVE Number Authority

(CNA) το 2020 και έχει αρχίσει να εκδίδει CVE IDs για



ευπάθειες

στο GitHub Enterprise Server.

Πηγή: ZDNet