MicrosoftはDynamics 365およびPower Platformサービスを対象とした脆弱性を発見するセキュリティ研究者向けに、バグバウンティ報奨金制度を拡充しました。対象となる報告には1,250ドルから60,000ドルまでの報奨金が支払われます。
今回の取り組みは、Microsoftがサポートするクラウド製品において直接的かつ実証可能な影響を及ぼすセキュリティ上の欠陥を対象としています。特にMicrosoftが重視しているのは、テナント間(クロステナント)の脆弱性です。これはマルチテナント型のエンタープライズプラットフォームに影響を及ぼす、最も深刻なリスクの一つとされています。
クロステナントの欠陥が存在すると、あるMicrosoft環境上で活動する攻撃者が、別の顧客テナントに関連付けられたデータやリソース、管理機能、業務プロセスにアクセスできてしまう恐れがあります。
こうした脆弱性は、同一のクラウドプラットフォームを利用する組織同士を隔離する分離制御の仕組みを損なう可能性があります。
Microsoftは、重大なクロステナント脆弱性を影響度の高いシナリオに分類し、報奨金を100%上乗せする対象としています。重要度の高いクロステナントの発見についても、報奨金が50%上乗せされます。
この方針は、複数組織に影響を及ぼしたり、攻撃者が管理するテナントの枠を超えたアクセスを可能にしたりする欠陥に、研究者の注意を向けさせる狙いがあります。
今回拡充された対象範囲には、Sales、Customer Service、Finance、Supply Chain Management、Business Central、Commerce、Customer Insightsといったオンライン版Dynamics 365アプリケーションが含まれます。
さらに、Power Apps、Power Automate、Power Pages、Power Admin、AI Builder、Dataverse、Microsoft Copilot Studioも対象です。一部のオンプレミス版Dynamics製品も本プログラムに含まれています。
Microsoftによれば、特定の影響度が高い技術的シナリオには追加のボーナスも用意されています。Power Platformの別の入口経由でDataverseへの権限昇格を可能にする脆弱性には、20%の報奨金上乗せが適用されます。
Dataverse Plugin Sandboxにおける「ゲストからホストへの」脱出を発見した研究者にも、20%の上乗せが適用される場合があります。このような脱出が成立すると、制限されたプラグイン環境内で動作するコードがセキュリティ境界を越え、より高い権限を持つ実行コンテキストへのアクセスを得られてしまいます。
本プログラムにはAIに特化した報奨カテゴリーも含まれています。重大なAI推論操作および推論による情報漏えいの脆弱性は、実質的なセキュリティ上の影響を示すものであれば最大30,000ドルの報奨金の対象となります。
Microsoftはこうした問題を一般的なAIの挙動とは明確に区別しており、報告には攻撃者が制御可能なコンテンツやインタラクションを超えた、実際のセキュリティ上の影響を示す必要があるとしています。
より広範なセキュリティへの影響を伴わないプロンプトインジェクションの発見は対象外です。同社はまた、モデルの幻覚(ハルシネーション)、システムプロンプトの取得を試みる行為、有意なセキュリティ脆弱性を生じさせないコンテンツ関連のAI問題についても対象から除外しています。
従来型の脆弱性分類では、信頼できないデータの安全でないデシリアライゼーションやコードインジェクションのバグが、最大20,000ドルの報奨金対象となります。
認証の不備、情報漏えい、SQLインジェクション、コマンドインジェクション、サーバーサイドリクエストフォージェリ(SSRF)、不適切なアクセス制御に関わる重大かつ影響度の高い発見は、最大12,000ドルの支払い対象となる場合があります。
研究者は、対象製品・サービスの最新の完全パッチ適用済みバージョンでテストを行う必要があります。報奨金を受け取るには、提出内容が「重大(Critical)」または「重要(Important)」と評価され、脆弱性とその影響の両方を裏付ける再現可能な証拠を含んでいる必要があります。
報告はMSRC Researcher Portal経由で提出する必要があり、影響を受けたPower PlatformまたはDynamics環境のID、テストに使用したアカウントのユーザー名、詳細な再現手順、概念実証(PoC)の証拠、該当する影響度の高いシナリオを含める必要があります。
研究者に対しては、テスト用テナントを使用し、Microsoftの行動規範(Rules of Engagement)に従い、顧客データやプライバシー、サービスの可用性に影響を与えないようにすることが推奨されています。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/microsoft-offers-60000-dynamics-365-power-platform-flaws/
