Wordfence, une entreprise bien connue dans le domaine de la cybersécurité, a récemment lancé un nouveau programme de bug bounty. Cette initiative vise à offrir des incitations financières aux chercheurs en sécurité qui signalent des vulnérabilités à haut risque à l'entreprise.
Une fois que les chercheurs signalent des vulnérabilités à Wordfence, l'entreprise les gère et les communique de manière confidentielle aux fournisseurs pour correction. Lorsque le correctif est publié, la vulnérabilité est intégrée à la base de données publique et librement accessible de Wordfence, conformément à une politique de divulgation responsable.
Chloé Chamberland, analyste en sécurité chez Wordfence, a déclaré : « Il n'y a pas de limite aux récompenses qu'un chercheur individuel peut gagner, et chaque vulnérabilité pertinente reçue via notre processus de soumission mérite une récompense. »
Wordfence récompensera les chercheurs qui découvrent des vulnérabilités dans les plugins et les thèmes comptant plus de 50 000 installations actives. Voici quelques exemples de récompenses :
- $1.600 pour le téléchargement arbitraire de fichiers non authentifiés, l'exécution de code à distance, l'augmentation des privilèges d'administrateur ou les options de mise à jour arbitraire dans un plugin ou un thème avec plus d'un million d'installations actives.
- $1.060 pour la suppression arbitraire de fichiers non authentifiés dans un plugin ou un thème avec plus d'un million d'installations actives, en supposant que wp-config.php puisse être facilement supprimé.
- $800 pour une injection SQL non authentifiée dans un plugin ou un thème avec plus d'un million d'installations actives.
- $320 pour une vulnérabilité de script intersite non authentifié dans un plugin ou un thème avec plus d'un million d'installations actives.
- $80 pour une vulnérabilité Cross-Site Request Forgery dans un plugin ou un thème avec plus d’un million d’installations actives et un impact significatif.
Les récompenses de notre programme Bug Bounty sont conçues pour avoir le plus grand impact positif sur la sécurité de l’écosystème WordPress. Les récompenses ne sont pas gagnées par la recherche massive de vulnérabilités à faible impact pour gagner une place dans un classement, mais sont basées sur le nombre d'installations actives, la criticité de la vulnérabilité, la facilité d'exploitation et la prévalence du type de vulnérabilité.
dit Chamberland.
Le lancement par Wordfence de son programme de primes aux bogues vise clairement à se positionner avantageusement sur le marché, en défiant indirectement Patchstack, dont le programme repose sur un système de classement rémunérant uniquement les meilleurs chercheurs. Bien que certaines différences soient notables (certaines récompenses sont attribuées à la discrétion de l'entreprise), la plupart des récompenses individuelles sont destinées aux meilleurs scores dans différentes catégories.
Patchstack garantit une cagnotte mensuelle d'au moins 2425 650 $ (la cagnotte la plus basse possible). Le membre de Patchstack Alliance qui collecte le plus de points pour un mois donné à partir de ses rapports soumis recevra une récompense de 350 $, la deuxième place recevra 250 $ et la troisième place recevra XNUMX $.
Il existe des récompenses supplémentaires (récompenses uniques) pour signaler la vulnérabilité avec le score de base le plus élevé selon CVSS ver. 3.1 ; le nombre d'installations actives le plus élevé ; et de signaler un groupe de composants affectés par la même vulnérabilité.
Patchstack peut récompenser des membres individuels de Patchstack Alliance à sa discrétion en fonction de l'impact global des vulnérabilités qu'ils découvrent.
Wordfence adopte une approche différente pour payer pour chaque vulnérabilité signalée dans le cadre identifié par le programme.
Les chercheurs travaillant sur l'écosystème WordPress devraient se familiariser avec les différents programmes de primes aux bogues et déterminer la meilleure façon de soumettre leurs rapports. Certains plugins et entreprises, comme Elementor, Brainstorm Force, Automattic, Castos et WP Engine, proposent leurs propres programmes de primes aux bogues avec diverses options de rémunération.
Nous payons plus par vulnérabilité et nous payons pour chaque vulnérabilité valide soumise. Nous pensons que c'est la seule bonne façon de procéder, car la gamification d'un programme de vulnérabilité, c'est comme si tous les employés travaillaient, mais seuls ceux au sommet étaient payés. Si vous soumettez une vulnérabilité valide, vous devriez être payé pour votre travail.
a déclaré Mark Maunder, PDG de Wordfence.
Maunder soutient que de mauvaises incitations diminuent la qualité des recherches soumises.
Il existe un nombre extrêmement élevé de vulnérabilités à faible risque et de mauvaise qualité soumises à des bases de données comme Patchstack, les vulnérabilités impliquant la falsification de requêtes intersites en sont un exemple. Les incitations que nous observons encouragent les chercheurs à générer un volume élevé de vulnérabilités à faible risque pour être récompensés. Ces chiffres élevés sont ensuite utilisés pour commercialiser des produits de sécurité.
Maunder a déclaré que Wordfence a structuré son programme pour déplacer les incitations vers la recherche de vulnérabilités à haut risque, plutôt que d'améliorer les mesures marketing pour une base de données de vulnérabilités particulière.
Un volume élevé de vulnérabilités à faible risque dans une base de données particulière nuit au secteur car cela crée du travail pour d'autres organisations qui doivent intégrer ces données, mais pour la plupart, il ne s'agit que d'un bruit inutile que nous sommes obligés de passer au crible, plutôt que de poser des questions. un risque réel pour la communauté des utilisateurs
» dit Maunder.
En tant que nouvelle entrée dans le groupe des sociétés WordPress proposant des bug bounties, Wordfence entre sur le marché avec l'intention d'attirer davantage de rapports grâce à des bonus supplémentaires (10 % pour les 6 premiers mois) et une structure de bonus qui récompense l'enchaînement de plusieurs vulnérabilités, une documentation complète. et d'autres efforts supplémentaires.
Tous les développeurs de plugins ou de thèmes populaires n'ont pas les moyens de proposer leur propre programme de primes aux bogues ; c'est là que les entreprises de sécurité interviennent pour combler ce manque. Une concurrence accrue entre les entreprises pour la recherche de pointe ne peut être que bénéfique pour les utilisateurs de WordPress, car elle incite davantage à renforcer la sécurité de l'écosystème et attire potentiellement des chercheurs plus qualifiés. Les programmes de primes aux bogues évolueront probablement au fil du temps, les entreprises les perfectionnant pour offrir la meilleure récompense possible à la recherche originale.
