bug bounty

Bug bounty to program, w którym właściciel oprogramowania albo usługi płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem. Niebezpiecznik opisywał go już w 2011 roku jako „program nagród za błędy bezpieczeństwa” ^[2]. CERT Polska wymienia programy bug bounty obok audytów bezpieczeństwa i testów penetracyjnych jako formę testów prowadzonych za zgodą dysponenta systemu ^[1]. Program bug bounty jest odmianą skoordynowanego ujawniania podatności (coordinated vulnerability disclosure), w której za zgłoszenie przysługuje nagroda.

Jak działa

Program ogłasza zakres (co wolno testować), zasady (czego robić nie wolno), sposób zgłaszania i stawki. Badacz bezpieczeństwa szuka błędów w granicach zakresu i przesyła raport, zwykle z dowodem wykonalności, czyli PoC (proof of concept). Organizator przeprowadza triaż (triage): sprawdza, czy błąd jest prawdziwy, nowy i mieści się w zakresie, ocenia jego wagę i ustala nagrodę. Potem przekazuje informację producentowi, a po wydaniu poprawki podatność jest ujawniana.

RYS. 1Cykl zgłoszenia w programie bug bounty

Osobę, która zawodowo lub regularnie bierze udział w takich programach, określa się jako bug bounty hunter. Działa ona w roli white hat: szuka błędów po to, żeby zostały usunięte.

Rodzaje programów

Przykładem trzeciego typu jest Internet Bug Bounty, uruchomiony w listopadzie 2013 roku jako inicjatywa HackerOne wspierana finansowo przez Facebooka i Microsoft ^[3]. Obejmował między innymi OpenSSL, języki i frameworki Python, Django, Ruby, Rails i Perl oraz serwery nginx i Apache; nagrody zaczynały się od 500 USD ^[3]. Zespoły miały 7 dni na weryfikację błędu i 30 dni na łatkę przed publicznym ujawnieniem ^[3].

Program CVE wymienia dostawców programów bug bounty jako jeden z typów organizacji, które mogą zostać CNA i samodzielnie nadawać numery CVE ^[7].

W WordPressie

W ekosystemie WordPressa programy bug bounty prowadzą głównie firmy bezpieczeństwa, a nie autorzy wtyczek. Większość autorów nie ma własnego programu, więc nagrody za błędy w cudzych wtyczkach i motywach wypłacają pośrednicy, którzy następnie powiadamiają producenta.

• Wordfence uruchomił program 9 listopada 2023 roku ^[4]. Nagradzał błędy we wtyczkach i motywach z co najmniej 50 000 aktywnych instalacji ^[4]. Przykładowe stawki dla komponentów z ponad milionem instalacji: 1600 USD za nieuwierzytelnione wgranie dowolnego pliku (arbitrary file upload), zdalne wykonanie kodu (RCE) albo eskalację uprawnień do administratora, 800 USD za nieuwierzytelnione SQL injection i 320 USD za nieuwierzytelniony XSS ^[4]. Po wydaniu poprawki podatność trafia do publicznej bazy firmy ^[4].
• Patchstack podaje, że w pierwszym półroczu 2025 roku badacze z jego programu bug bounty przesłali 3431 poprawnych zgłoszeń, a zrobiło to 125 osób ^[5].

Zespół wtyczek WordPress.org prosi, by podatności we wtyczkach zgłaszać e-mailem, nie publikować ich nigdzie przed poprawką i najpierw próbować kontaktu z autorem ^[8]. Nie pomaga też w uzyskaniu numeru CVE ^[8], dlatego badacze często trafiają do programów pośredników, które są CNA.

Dla właściciela strony wniosek jest praktyczny: publikacja podatności z programu bug bounty oznacza zwykle, że poprawka już istnieje. Od tej chwili liczy się czas do aktualizacji, bo opis błędu jest publiczny.

Znaczenie i ryzyka

Program bug bounty poszerza grono osób szukających błędów, ale nie zastępuje testu penetracyjnego ani przeglądu kodu. Badacze wybierają cele według opłacalności, więc część aplikacji może pozostać poza ich zainteresowaniem.

Istotna jest strona prawna. CERT Polska wyjaśnia, że testy prowadzone za zgodą dysponenta systemu mają wcześniej uzgodniony zakres i sposób prowadzenia ^[1]. Bez takiej zgody zastosowanie mogą mieć przepisy o nieuprawnionym testowaniu, w tym art. 269c Kodeksu karnego, który określa warunki, w jakich takie działanie nie podlega karze; testujący ma obowiązek niezwłocznie powiadomić dysponenta systemu o znalezionych zagrożeniach ^[1]. Regulamin programu bug bounty pełni więc funkcję zgody i wyznacza granice testów.

Dobre praktyki

Dla organizacji, która chce przyjmować zgłoszenia:

• Kanał kontaktu. Standard security.txt z RFC 9116 z kwietnia 2022 roku opisuje plik, w którym organizacja podaje sposób kontaktu dla badaczy ^[6]. Pole Policy wskazuje, gdzie opublikowano politykę ujawniania podatności, a pole Expires mówi, kiedy dane w pliku przestają być aktualne ^[6]. Plik trzeba serwować przez HTTPS ^[6].
• Jasny zakres i reguły. Które domeny i wersje są objęte programem, jakie techniki są zakazane, ile czasu organizacja ma na poprawkę.
• Terminy ujawnienia. CERT Polska publikuje wpisy CVE po 90 dniach od przekazania producentowi szczegółów, wcześniej, gdy wydano aktualizację ^[1]. Podobne terminy warto przyjąć we własnym programie.

Dla badacza: testować tylko to, co jest w zakresie, nie naruszać danych innych użytkowników, nie publikować szczegółów przed poprawką ^[8] i zgłaszać błąd tam, gdzie wskazuje polityka. Gdy producent nie odpowiada, można zwrócić się do zespołu CERT Polska, który koordynuje ujawnianie podatności ^[1].

Historia i przykłady

W lipcu 2011 roku Niebezpiecznik odnotował, że Piwik, otwartoźródłowy odpowiednik statystyk Google Analytics, otworzył program nagród, dołączając do Google i Mozilli; nagrody wynosiły 500 i 200 dolarów ^[2]. W 2013 roku ruszył Internet Bug Bounty dla wspólnego oprogramowania internetu ^[3]. W listopadzie 2023 roku własny program uruchomił Wordfence ^[4]. Patchstack wiąże to, że w kwietniu 2025 roku stał się największym w historii podmiotem ujawniającym podatności, z pracą społeczności swojego programu bug bounty i wewnętrznego zespołu badawczego ^[5].