Компания Google обяви разширяване на инициативата за изплащане на парични награди за откриване на проблеми с безопасността в ядрото на Linux, платформата за оркестрация на контейнери Kubernetes, движението GKE (Google Kubernetes Engine) и средата за провеждане на състезания по търсене на уязвимости kCTF (Kubernetes Capture the Flag).
В програмата за награди са добавени допълнителни бонуси в размер на 20 хиляди долара за 0-day уязвимости, за експлойти, които не изискват включване на поддръжка на пространства с идентификатори на потребители (user namespaces), и за демонстриране на нови методи за експлоатация. Основната награда за демонстрация на работещ експлойт в kCTF е 31337 долара (основната награда се изплаща на участника, първи демонстрирал работещ експлойт, но бонусите могат да се прилагат и за последващи експлойти за същата уязвимост).
С оглед на бонусите максималният размер на наградата за 1-day експлойт (проблеми, открити на основата на анализ на корекции в кода, явно не маркирани като уязвимости) може да достигне до 71337 долара (беше $31337), а за 0-day (проблеми, за които все още няма корекция) — 91337 долара (беше $50337). Програмата за изплащане ще действа до 31 декември 2022 година.
Отбелязва се, че през последните три месеца Google е обработил 9 заявки с информация за уязвимости, за които са изплатени 175 хиляди долара. Участващите изследователи са подготвили пет експлойти за 0-day уязвимости и два за 1-day уязвимости. По три вече оправени проблема в ядрото на Linux (CVE-2021-4154 в cgroup-v1, CVE-2021-22600 в af_packet и CVE-2022-0185 в VFS) информацията е разкрита публично (посочените проблеми преди това вече бяха открити чрез Syzkaller и за два от проблемите в ядрото бяха добавени корекции).
Източник: opennet.ru
