Microsoft nimmt die Sicherheit seiner Softwareprodukte und -dienste sehr ernst. Dies gilt auch für alle Quellcode-Repositorys, die über unsere GitHub-Organisationen verwaltet werden, darunter Microsoft, Azure, DotNet, AspNet, Xamarin und unsere GitHub-Organisationen.

Wenn Sie glauben, eine Sicherheitslücke in einem von Microsoft betriebenen Repository gefunden zu haben, die Microsoft's Definition einer Sicherheitslücke entspricht, melden Sie uns diese bitte wie unten beschrieben.

Bitte melden Sie Sicherheitsschwachstellen nicht über öffentliche GitHub-Probleme.

Melden Sie sie stattdessen bitte an das Microsoft Security Response Center (MSRC) unter https://msrc.microsoft.com/create-report.

Wenn Sie es vorziehen, ohne Anmeldung zu melden, senden Sie eine E-Mail an secure@microsoft.com. Wenn möglich, verschlüsseln Sie Ihre Nachricht mit unserem PGP-Schlüssel; bitte laden Sie ihn von der Seite Microsoft Security Response Center PGP Key herunter.

Sie sollten innerhalb von 24 Stunden eine Antwort erhalten. Sollte dies aus irgendeinem Grund nicht der Fall sein, fragen Sie bitte per E-Mail nach, um sicherzustellen, dass wir Ihre ursprüngliche Nachricht erhalten haben. Weitere Informationen finden Sie unter microsoft.com/msrc.

Bitte geben Sie die unten aufgeführten Informationen an (so viele wie möglich), damit wir Art und Umfang des Problems besser verstehen können:

• Art des Problems (z.B. Pufferüberlauf, SQL-Injection, Cross-Site Scripting usw.)
• Vollständige Pfade der Quelldatei(en), die mit der Manifestation des Problems zusammenhängen
• Der Ort des betroffenen Quellcodes (Tag/Branch/Commit oder direkte URL)
• Jede spezielle Konfiguration, die erforderlich ist, um das Problem zu reproduzieren
• Schritt-für-Schritt-Anweisungen zur Reproduktion des Problems
• Proof-of-Concept oder Exploit-Code (falls möglich)
• Auswirkungen des Problems, einschliesslich der Frage, wie ein Angreifer das Problem ausnutzen könnte

Diese Informationen helfen uns, Ihren Bericht schneller zu bearbeiten.

Wenn Sie ein Bug Bounty beantragen, können vollständigere Berichte zu einer höheren Prämie beitragen. Bitte besuchen Sie unsere Microsoft Bug Bounty Program Seite für weitere Informationen über unsere aktiven Programme.

Wir bevorzugen die Kommunikation in englischer Sprache.

Microsoft folgt dem Prinzip der Koordinierten Offenlegung von Schwachstellen.