Tesla дарит $10 000 тому, кто найдет ошибку в ее серверах

Компания Tesla, которую мы знаем по своим электромобилям, дала вознаграждение в размере 10 000 долларов человеку, обнаружившему уязвимость в службах Microsoft SQL Server Reporting Services. Человек, обнаруживший уязвимость, получил помощь от того, кто ранее рассказывал об этой уязвимости.

Американский производитель электромобилей Теслав прошлом в службах отчетов Microsoft SQL Server (SRSS) заплатила компании относительно небольшую сумму из-за обнаруженной уязвимости в системе безопасности. Платеж был переведен тому, кто обнаружил уязвимость.

SRSS получил обновление всего за пять дней до раскрытия уязвимости, о которой мы говорим. Возникшая уязвимость возникла в результате ошибки на сервере. удаленное редактирование кода позволял. Немецкий охотник за жуками»посылка”, обнаруженный на сервере для партнеров Tesla.

Уязвимостью в SRSS ранее поделился кто-то другой:

CVE-2020-0618 Уязвимость, названная уязвимостью, получила обновление 14 февраля. С другой стороны, немецкий охотник Parzel обнаружил уязвимость через четыре дня после этого обновления, используя платформу безопасности. толпа жуков поделился. Parzel обнаружил эту уязвимость, просматривая домены Tesla.

Обнаружив эту уязвимость, охотник за ошибками удалил из исходного кода некоторые строки, которые можно было использовать в качестве отпечатков пальцев. Затем он проверил, соответствуют ли эти строки доменам Теслы. Тесла признал уязвимость статьи Парзеля и вознаграждение в размере 10 000 долларов США ответил. Tesla отключила неисправный сервис SQL после обнаружения уязвимости.

Исследователь MDSec Соруш Далили CVE-2020-0618 ранее сообщал об уязвимости в Microsoft. Далили поделился некоторыми техническими подробностями об этой уязвимости 11 февраля, через три дня после обновления Microsoft, и рассказал, как он может использовать эту уязвимость.

Отчеты, опубликованные исследователем MDSec, оказались весьма полезными для Парзеля и помогли Тесле найти эту уязвимость в его сервере. помог. он уже Twitter Он также поблагодарил Далили за отчет, которым он поделился в сообщении на своем веб-сайте.

Можно сказать, что Tesla, избавившаяся от уязвимости, на самом деле дала немного заниженную сумму вознаграждения за посылку, учитывая размер компании. Однако, учитывая сложность поиска этого пробела и тот факт, что детали уже были раскрыты, можно сказать, что сумма вознаграждения достаточна.

Источник: https://www.bleepingcomputer.com/news/security/tesla-pays-10k-for-microsoft-sql-server-reporting-services-bug/