Google har annonceret en udvidelse af initiativet for at udbetale belønninger for at identificere sikkerhedsproblemer i Linux-kernen, Kubernetes-containerorkestreringsplatformen, GKE (Google Kubernetes Engine) og miljøet til afholdelse af sårbarhedskonkurrencer, kCTF (Kubernetes Capture the Flag).
Programmet for belønninger har fået yderligere bonusudbetalinger på 20.000 dollars for 0-dags sårbarheder, for exploits, der ikke kræver aktivering af understøttelse af bruger-id-namespace (user namespaces), og for at demonstrere nye udnyttelsesmetoder. Grundudbetalingen for at demonstrere en fungerende exploit i kCTF er 31.337 dollars (grundudbetalingen udbetales til den deltager, der først demonstrerer en fungerende exploit, men bonusudbetalinger kan også anvendes til efterfølgende exploits for den samme sårbarhed).
I alt, inklusive bonusser, kan den maksimale belønningsstørrelse for en 1-dags exploit (problemer identificeret ved analyse af rettelser i kodebasen, der ikke eksplicit er markeret som sårbarheder) nå op på 71.337 dollars (tidligere $31.337), mens belønningen for en 0-dags exploit (problemer, der endnu ikke har en rettelse) kan være 91.337 dollars (tidligere $50.337). Udbetalingsprogrammet vil være aktivt indtil 31. december 2022.
Det rapporteres, at Google i løbet af de sidste tre måneder har behandlet 9 ansøgninger vedrørende sårbarheder, hvor der er udbetalt 175.000 dollars. Deltagende forskere har forberedt fem exploits for 0-dags sårbarheder og to for 1-dags sårbarheder. For tre allerede rettede problemer i Linux-kernen (CVE-2021-4154 i cgroup-v1, CVE-2021-22600 i af_packet og CVE-2022-0185 i VFS) er informationen blevet offentliggjort (de nævnte problemer blev tidligere identificeret via Syzkaller, og der blev tilføjet rettelser for to af problemerne i kernen).
Kilde: opennet.ru
