Google увеличи сумата на наградите за откритие на уязвимости в ядрото Linux и Kubernetes

Компания Google обяви за разширяване на инициативата за изплащане на парични награди за откриване на проблеми със сигурността в ядрото на Linux, платформата за оркестрация на контейнери Kubernetes, движението GKE (Google Kubernetes Engine) и средата за провеждане на състезания по намиране на уязвимости kCTF (Kubernetes Capture the Flag).

В програмата за награди са въведени допълнителни бонусни плащания в размер на 20 000 долара за 0-day уязвимости, за експлойти, които не изискват активиране на поддръжка на пространства от имена на потребителите (user namespaces), и за демонстрация на нови методи за експлоатация. Основната оценка за демонстрация в kCTF на работен експлоит е 31 337 долара (основната награда се изплаща на участника, който пръв демонстрира работен експлоит, но бонусите могат да се прилагат и за следващи експлойти за същата уязвимост).

В общ план, с оглед на бонусите, максималният размер на наградата за 1-day експлоит (проблеми, установени на база анализ на корекциите в кода, явни, че не са обозначени като уязвимости) може да достига до 71 337 долара (беше $31 337), а за 0-day (проблеми, за които все още няма корекция) — 91 337 долара (беше $50 337). Програмата за изплащане ще действа до 31 декември 2022 година.

Отбелязва се, че през последните три месеца Google е обработила 9 заявки с информация за уязвимости, за които са изплатени 175 000 долара. Участващите изследователи са подготвили пет експлота за 0-day уязвимости и два за 1-day уязвимости. За три вече коригирани проблеми в ядрото на Linux (CVE-2021-4154 в cgroup-v1, CVE-2021-22600 в af_packet и CVE-2022-0185 в VFS) информацията е била публично разкрита (посочените проблеми вече бяха установени чрез Syzkaller и за два проблема в ядрото бяха добавени корекции).

Източник: opennet.ru