Die Firma Google hat die Ausweitung ihres Belohnungsprogramms zur Entdeckung von Sicherheitslücken in der Android-Plattform, dem Chrome-Browser und den zugrunde liegenden Komponenten angekündigt. Die maximale Prämie für die Erstellung eines Exploits für die Android-Plattform, der die Ausführung von Code auf dem Pixel Titan M2-Chip ohne besondere Benutzeraktionen (Zero-Click) ermöglicht, beträgt 1.5 Millionen Dollar, wenn es dem Angreifer gelingt, sich im System festzusetzen, und 750 Tausend Dollar für Angriffe, die keine dauerhafte Kontrolle über das System etablieren. Darüber hinaus wurden Prämien für den Zugriff auf geschützte vertrauliche Daten (bis zu 375 Tausend Dollar) und für das Umgehen des Sperrbildschirms (bis zu 150 Tausend Dollar) eingerichtet.
Die maximale Belohnung für die Erstellung eines Exploits für Chrome, der es ermöglicht, bei der Öffnung von Webseiten alle Isolationsebenen des Browsers zu umgehen und eigenen Code im System auszuführen, wurde auf 250.000 Dollar erhöht. Zusätzlich gibt es einen Bonus von weiteren 250.000 Dollar ($250128), wenn der Exploit Operationen im Zusammenhang mit dem Speicher angreift, die durch den MiraclePtr-Mechanismus geschützt sind. MiraclePtr bietet eine Wrapper-Überprüfung über Zeiger, die zusätzliche Prüfungen durchführt und die Ausführung im Falle eines Zugriffs auf freigegebene Speicherbereiche sicher beendet.
Zusätzlich gibt es für Chrome Prämien von bis zu 10.000 Dollar für das Umgehen der Isolation zwischen Websites oder von Zugriffsgrenzen in JavaScript (XSS), bis zu 5.000 Dollar für das Umgehen von Speicherbeschränkungen, das Ausnutzen des Rendering-Prozesses, das Extrahieren von Benutzerdaten und das Spoofing von URLs in der Adresszeile, sowie von 500 bis 7.500 Dollar für andere Arten von Schwachstellen. Für spezifische Schwachstellen in Chrome OS sind Prämien von bis zu 30.000 Dollar plus 10.000 Dollar für die Entwicklung eines Patches festgelegt.
Quelle: opennet.ru
