Společnost Google oznámila rozšíření iniciativy pro vyplácení finančních odměn za odhalení bezpečnostních problémů v jádře Linux, platformě pro orchestraci kontejnerů Kubernetes, motoru GKE (Google Kubernetes Engine) a prostředí pro pořádání soutěží v hledání zranitelností kCTF (Kubernetes Capture the Flag).
Do programu odměn byly zavedeny další bonusy ve výši 20 tisíc dolarů za 0-day zranitelnosti, za exploity, které nevyžadují aktivaci podpory prostorů identifikátorů uživatelů (user namespaces), a za demonstraci nových metod exploitace. Základní odměna za předvedení funkčního exploitu v kCTF činí 31337 dolarů (základní odměna se vyplácí účastníkovi, který jako první předvede funkční exploit, ale bonusy se mohou uplatnit i pro následující exploits téže zranitelnosti).
Celkem, včetně bonusů, může maximální výše odměny za 1-day exploit (problémy identifikované na základě analýzy opravy chyb v kódové základně, které nejsou výslovně označeny jako zranitelnosti) dosáhnout až 71337 dolarů (bylo $31337), a za 0-day (problémy, pro které zatím není oprava) – 91337 dolarů (bylo $50337). Program vyplácení bude platit do 31. prosince 2022.
Bylo uvedeno, že za poslední tři měsíce Google zpracoval 9 žádostí o informace o zranitelnostech, za které bylo vyplaceno 175 tisíc dolarů. Účastníci připravili pět exploitů pro 0-day zranitelnosti a dva pro 1-day zranitelnosti. O třech již opravených problémech v jádře Linux (CVE-2021-4154 v cgroup-v1, CVE-2021-22600 v af_packet a CVE-2022-0185 v VFS) byly informace zveřejněny (uvedené problémy byly předtím odhaleny prostřednictvím Syzkaller a pro dva problémy v jádru byly přidány opravy).
Zdroj: opennet.ru
