ESETは2019年1月7日(米国時間)、「EU offers bug bounties on popular open source software」において、欧州連合（EU）が人気のあるオープンソース・ソフトウェア（OSS）を対象とした大規模なバグ報奨金プログラムを開始すると伝えた。

2014年に世界中で発生したOSSであるOpenSSLに発見された脆弱性「Heartbleed」を狙った攻撃がこの取り組みの発端になったという。この取り組みでは、すでに社会基盤として重要な地位を占めるようになったOSSの脆弱性を減らし、社会基盤の安定性を向上させることを狙っていると見られる。

本稿執筆時点で公開されている対象プロジェクトと報奨金額、対象期間、プラットフォームなどは次のとおり。

ソフトウェアプロジェクト 報奨金€ 開始日 終了日 プラットフォーム
Filezilla 58,000 2019年01月07日 2019年08月15日 HackerOne
Apache Kafka 58,000 2019年01月07日 2019年08月15日 HackerOne
Notepad++ 71,000 2019年01月07日 2019年08月15日 HackerOne
PuTTY 90,000 2019年01月07日 2019年12月15日 HackerOne
VLC Media Player 58,000 2019年01月07日 2019年08月15日 HackerOne
FLUX TL 34,000 2019年01月15日 2019年10月15日 Intigriti/Deloitte
KeePass 71,000 2019年01月15日 2019年07月08日 Intigriti/Deloitte
7-zip 58,000 2019年01月07日 2020年04月15日 Intigriti/Deloitte
Digital Signature Services (DSS) 25,000 2019年01月07日 2019年10月15日 Intigriti/Deloitte
Drupal 89,000 2019年01月07日 2020年10月15日 Intigriti/Deloitte
GNU C Library (glibc) 45,000 2019年01月07日 2019年12月15日 Intigriti/Deloitte
PHP Symfony 39,000 2019年01月07日 2019年10月15日 Intigriti/Deloitte
Apache Tomcat 39,000 2019年01月07日 2019年10月15日 Intigriti/Deloitte
WSO2 58,000 2019年01月07日 2020年04月15日 Intigriti/Deloitte
midPoint 58,000 2019年03月01日 2019年08月15日 HackerOne
  • Julia Reda｜In January、the EU starts running Bug Bounties on Free and Open Source Software

    Julia Reda｜In January, the EU starts running Bug Bounties on Free and Open Source Software

報奨金は発見した脆弱性やバグの深刻度、対象ソフトウェアの重要性などから決定されると説明がある。詳細は今後、EUから公開される見通し。招待制のバグ報奨金プログラムと異なり、多くの人に門戸が開かれており、さまざまな開発者や研究者がプログラムに参加することが予想される。

バグ報奨金プログラムがOSSのバグや脆弱性を発見するのに効果を発揮することはこれまでの取り組みですでに示されている。バグ報奨金プログラムで提示される報奨金は国や地域によっては高額な報奨金に分類されるため、世界中の開発者や研究者が積極的に取り組むといった理由があると考えられている。