Das Unternehmen Google hat die Erweiterung seines Programms zur Belohnung für die Entdeckung von Sicherheitsanfälligkeiten auf der Android-Plattform, im Chrome-Browser und den zugrunde liegenden Komponenten bekannt gegeben. Die maximale Prämie für die Erstellung eines Exploits für die Android-Plattform, der es ermöglicht, Code auf der Chip-Ebene von Pixel Titan M2 ohne spezielle Maßnahmen des Benutzers (Zero-Click) auszuführen, beträgt 1,5 Millionen Dollar, wenn es dem Angreifer gelingt, sich im System festzusetzen, und 750.000 Dollar für Angriffe, die keine dauerhafte Kontrolle über das System erlangen. Zusätzlich wurden Prämien für das Extrahieren geschützter personenbezogener Daten (bis zu 375.000 Dollar) und das Umgehen des Sperrbildschirms (bis zu 150.000 Dollar) eingeführt.
Die maximale Belohnung für die Erstellung eines Exploits für Chrome, der es ermöglicht, beim Öffnen einer Webseite alle Isolationsstufen des Browsers zu umgehen und eigenen Code im System auszuführen, wurde auf 250.000 Dollar erhöht. Darüber hinaus ist eine Bonuszahlung von weiteren 250.000 Dollar ($250128) vorgesehen, wenn die Ausnutzung die Arbeit mit geschütztem Speicher berührt, die durch den MiraclePtr-Mechanismus gesichert ist. MiraclePtr bietet eine Wrapper über Zeiger, führt zusätzliche Prüfungen durch und beendet die Ausführung im Falle eines Zugriffs auf freigegebene Speicherbereiche.
Darüber hinaus gelten für Chrome Prämien von bis zu 10.000 Dollar für das Umgehen der Isolierung zwischen Websites oder der Zugriffskontrolle in JavaScript (XSS), bis zu 5.000 Dollar für das Umgehen von Speicherbeschränkungen, Ausnutzung des Renderprozesses, Extraktion von Benutzerdaten und URL-Spoofing in der Adresszeile, sowie von 500 bis 7.500 Dollar für andere Arten von Sicherheitsanfälligkeiten. Für spezifische Sicherheitsanfälligkeiten in Chrome OS wurden Prämien von bis zu 30.000 Dollar plus 10.000 Dollar für die Entwicklung eines Patches festgelegt.
Quelle: opennet.ru
