漏洞防不胜防！资安业者Malwarebytes也推抓虫奖励计划

资安业者Malwarebytes在去年11月收到Google抓虫小组（Project Zero）的通知，指出该公司的Anti-Malware防毒软件含有多个安全漏洞，在经过90天的揭露期限后，Malwarebytes仍未能完全修补，为了能够及早发现漏洞进行修补，该公司祭出抓虫奖励计划（Malwarebytes Bug Bounty program），以奖金来鼓励第三方安全研究人员帮忙找出漏洞。

Google安全研究人员Tavis Ormandy在去年11月向Malwarebytes提报该公司的Anti-Malware防毒软件含有多个安全漏洞，Project Zero的揭露原则是在把漏洞资讯提交给软件开发商的90天后就会公布漏洞细节，Ormandy亦已于本周公布了Anti-Malware软件的漏洞细节。

然而，Malwarebytes创办人暨首席执行官Marcin Kleczynski于本周坦承，这段期间他们只修补了服务器端的多个漏洞，藏匿于客户端软件的安全漏洞还要3至4周的时间才能修补。

Kleczynski说，尚未修补的漏洞虽然允许骇客注入恶意程式，但透过该漏洞的攻击一次只能锁定一台装置，采用Premium版本的Anti-Malware用户只要启用自我保护（self-protection）功能就能减缓相关漏洞所带来的危害。

他进一步强调，对软件开发而言，各种安全漏洞的存在是个残酷的事实，这一年来该公司的研究人员就已发现许多安全漏洞，透过漏洞揭露计划的执行将可加速发现各种漏洞，也让企业得以修补。因此他们决定推出抓虫奖励计划，鼓励第三方安全研究人员提报Malwarebytes软件中的安全漏洞。

此一抓虫奖励计划将根据漏洞的严重程度与开采可能性提供每一漏洞100到1000美元不等的奖金。此外，Malwarebytes也将打造自动化的臭虫发现软件来改善软件品质。

不只Malwarebytes受到漏洞困扰，其他的资安业者也曾被发现安全漏洞，包括卡巴斯基实验室、ESET、Avast、AVG与Intel Security等，近期趋势科技PC-cillin的密码管理工具也被Google安全专家发现含有漏洞。