Google belønningsprogrammer for at identificere sårbarheder i deres produkter, Android-applikationer og diverse open source-software. Det samlede beløb for belønninger udbetalt i 2019 var $6.5 millioner, hvoraf $2.1 millioner blev betalt for sårbarheder i Google-tjenester, $1.9 millioner i Android, $1 million i Chrome og $800 tusinde i Google Play-applikationer (resten blev allokeret til donationer). Til sammenligning blev der i 2018 betalt i alt 3.4 millioner dollars og i 2015 2 millioner dollars. Over 9 år beløb det samlede beløb af betalinger sig til $21 millioner.
461 forskere modtog priser. Den største betaling på 201 tusind dollars forsker Guang Gong, der identificerede en sårbarhed, der tillader fjernudførelse af kode på Pixel 3-enheden (161 tusinde dollars blev modtaget for sårbarheder i Android og 40 tusinde for sårbarheder i Chrome).
I 2019 var Google en præmie for at identificere sårbarheder i populære Android-applikationer, og omkostningerne til information om en fjernudnyttet sårbarhed i Google Android-applikationer er blevet øget fra 5 til 20 tusind dollars, datalækage og adgang til beskyttede komponenter fra 1000 til 3000 dollars. Belønningen for en udnyttelse til fuldstændig at kompromittere en Chromebook eller Chromebox fra gæsteadgangstilstand er blevet øget til $150.
Den maksimale betaling for at skabe en udnyttelse for at undslippe Chrome-sandkassemiljøet er blevet øget fra 15 til 30 tusind dollars for en metode til at omgå adgangskontrol i JavaScript (XSS) fra 7.5 til 20 tusind dollars for at organisere fjernudførelse af kode ved gengivelsen systemniveau fra 7.5 til 10 tusind 4 tusind dollars til identifikation af informationslækager - fra 5 til 20-7500 tusinde dollars. Der er indført betalinger for metoder til spoofing i brugergrænsefladen ($5000), eskalering af privilegier i webplatformen ($5000) og omgåelse af beskyttelse mod udnyttelse af sårbarheder ($1000). Betalinger for at udarbejde en grundlæggende beskrivelse af en sårbarhed af høj kvalitet uden at påvise en udnyttelse er blevet fordoblet. Bonusbetalingen for at identificere en sårbarhed ved hjælp af Chrome Fuzzer er blevet øget til $XNUMX.
Kilde: opennet.ru