Безопасность

Корпорация Microsoft серьезно относится к безопасности наших программных продуктов и служб, к которым относятся все репозитории исходного кода, управляемые нашими организациями GitHub, включая Microsoft, Azure, DotNet, AspNet, Xamarin и наши организации GitHub.

Если вы считаете, что нашли уязвимость в каком-либо репозитории Microsoft и она соответствует определению уязвимости, принятому Microsoft, сообщите нам об этом. используя описанную далее процедуру.

Сообщение о проблемах с безопасностью

Не сообщайте об уязвимостях в общедоступном средстве отслеживания проблем на GitHub.

Для таких случаев есть Центр по реагированию на угрозы Microsoft (MSRC), который находится по адресу https://msrc.microsoft.com/create-report.

Если вы хотите отправить сообщение, не входя в систему, используйте электронную почту secure@microsoft.com. По возможности зашифруйте сообщение с помощью ключа PGP; скачайте его на странице ключей PGP Центра по реагированию на угрозы Microsoft.

Вы должны получить ответ в течение 24 часов. Если по какой-либо причине вы не получили ответ, свяжитесь с нами по электронной почте, чтобы убедиться, что мы получили исходное сообщение. Дополнительные сведения можно найти в разделе microsoft.com/msrc.

Добавьте указанную ниже необходимую информацию (по возможности), чтобы помочь нам лучше понять происхождение и область возможной проблемы:

• тип проблемы (например, переполнение буфера, внедрение SQL, межсайтовые сценарии и т.д.),
• полные пути исходных файлов, связанных с проявлением проблемы,
• расположение вовлеченного исходного кода (тег/ветвь/фиксированный или прямой URL-адрес),
• любая специальная конфигурация, необходимая для воспроизведения проблемы,
• пошаговые инструкции по воспроизведению проблемы,
• эксперимент или код для использования (если возможно),
• влияние проблемы, включая способ использования этой проблемы злоумышленником.

Эта информация поможет нам быстрее рассмотреть ваш отчет.

Если вы хотите получить премию за обнаружение ошибки, то следует помнить, что премия может быть выше, если вы предоставите более полный отчет. Дополнительные сведения о наших активных программах см. на странице Microsoft Bug Bounty Program.

Предпочитаемые языки

Мы предпочитаем всегда вести коммуникации на английском языке.

Политика

Корпорация Microsoft следует принципу согласованного раскрытия информации об уязвимостях.