テスラは、Microsoft SQL Serverのバグを発見した人に10,000ドルの報酬を与えました

私たちが電気自動車で知っているテスラは、Microsoft SQL Server Reporting Servicesの脆弱性を発見した人に10,000ドルの賞を授与しました。この脆弱性を発見した人は、以前にこの脆弱性を共有した人から助けを受けました。

米国の電気自動車メーカーであるTeslaは、最近Microsoft SQL Server Reporting Services（SRSS）の脆弱性のため、同社にかなりの金額を支払いました。支払いは、脆弱性を発見した人に送られました。

SRSSは、私たちが話していた脆弱性が現れる5日前にアップデートを受け取りました。結果として生じる脆弱性により、サーバーエラーの結果としてリモートコード編集が可能になりました。ドイツのバグハンター「parzel」が発見したエラーは、Teslaのパートナーのサーバーに現れました。

SRSSの脆弱性は、以前に他の誰かによって共有されていました

CVE-2020-0618と呼ばれるこの脆弱性は、2月14日に更新されました。ドイツのハンターparzelは、セキュリティプラットフォームBugcrowdを通じて、この更新の4日後に発見した脆弱性を共有しました。 parzelは、Teslaのドメインを閲覧してこの不足を発見しました。

この脆弱性を発見した後、バグキャッチャーは、ソースコードからフィンガープリントとして使用できる文字列を削除しました。次に、これらの文字列がテスラのドメインと一致することを確認しました。 Teslaはこの脆弱性を認め、彼に10,000ドルの報酬を与えることでparzelの声明に応えました。 Teslaは、脆弱性が出現したため、障害のあるSQLサービスをオフラインにしました。

MDSecの研究者Soroush Daliliは、以前に脆弱性CVE-2020-0618をマイクロソフトに報告していました。 Daliliはまた、Microsoftのアップデートの3日後の2月11日にこの脆弱性に関する技術的な詳細を共有することにより、この脆弱性を悪用する方法を共有しました。

MDSec研究者によって公開されたレポートは、parzelにとって非常に有用であり、Teslaがサーバー上でこの脆弱性を見つけるのに役立ちました。 彼はまた、DaliliがTwitterで行った投稿で共有したレポートに感謝しました。

この脆弱性を取り除いたテスラは、その規模を考慮して、同社がparzelに少し低い報酬を与えたと実際に言うことができます。 ただし、この赤字を見つけるのが難しいことと、以前に共有された詳細を考慮すると、報酬の量は十分であると言えます。