Společnost Google oznámila rozšíření programu vyplácení odměn za identifikaci zranitelností v platformě Android, prohlížeči Chrome a souvisejících komponentách. Maximální výše odměny za vytvoření exploitu pro platformu Android, který umožňuje provádění kódu na úrovni čipu Pixel Titan M2 bez nutnosti provádět zvláštní akce uživatelem (zero-click), byla stanovena na 1,5 milionu dolarů, pokud se útočníkovi podaří zakotvit v systému, a 750 tisíc dolarů pro útoky, které nezakládají trvalou kontrolu nad systémem. Dále byly ustanoveny odměny za získání chráněných důvěrných dat (až 375 tisíc dolarů) a programové obcházení uzamčení obrazovky (až 150 tisíc dolarů).
Maximální výše odměny za vytvoření exploitu pro Chrome, který umožňuje obejít všechny úrovně izolace prohlížeče při otevření webové stránky a provést svůj kód v systému, byla zvýšena na 250 tisíc dolarů. Dále je k dispozici bonus až ve výši dalších 250 tisíc dolarů (250128 dolarů), pokud exploatace zasáhne operace práce s pamětí chráněné pomocí mechanismu MiraclePtr. MiraclePtr poskytuje obálku nad ukazateli, která provádí dodatečné kontroly a nouzově ukončuje činnost v případě zjištění přístupu k uvolněným oblastem paměti.
Kromě toho pro Chrome platí odměny ve výši až 10 tisíc dolarů za obcházení izolace mezi webovými stránkami nebo omezení přístupu v JavaScriptu (XSS), až 5000 dolarů za obcházení omezení úložiště, exploataci procesu vykreslování, získávání uživatelských informací a spoofing URL v adresním řádku, stejně jako od 500 do 7500 dolarů za jiné typy zranitelností. Pro specifické zranitelnosti systému Chrome OS byly stanoveny odměny až do 30000 dolarů plus 10000 dolarů za vytvoření opravy.
Zdroj: opennet.ru
