Google Belohnungsprogramme für die Identifizierung von Schwachstellen in ihren Produkten, Android-Anwendungen und verschiedener Open-Source-Software. Der Gesamtbetrag der im Jahr 2019 gezahlten Belohnungen belief sich auf 6.5 Millionen US-Dollar, wovon 2.1 Millionen US-Dollar für Schwachstellen in Google-Diensten, 1.9 Millionen US-Dollar für Android, 1 Million US-Dollar für Chrome und 800 US-Dollar für Google Play-Anwendungen gezahlt wurden (der Rest wurde für Spenden bereitgestellt). Zum Vergleich: Im Jahr 2018 wurden insgesamt 3.4 Millionen US-Dollar gezahlt, im Jahr 2015 waren es 2 Millionen US-Dollar. Über einen Zeitraum von neun Jahren belief sich der Gesamtbetrag der Zahlungen auf 9 Millionen US-Dollar.
461 Forscher wurden ausgezeichnet. Die größte Zahlung von 201 Dollar Forscher Guang Gong, der eine Schwachstelle identifizierte, die die Remote-Codeausführung auf dem Pixel-3-Gerät ermöglicht (161 US-Dollar gingen für Schwachstellen in Android und 40 US-Dollar für Schwachstellen in Chrome ein).
Im Jahr 2019 war Google ein Preis für die Identifizierung von Schwachstellen in beliebten Android-Anwendungen, und die Kosten für Informationen über eine aus der Ferne ausgenutzte Schwachstelle in Google Android-Anwendungen wurden von 5 auf 20 Dollar erhöht, Datenlecks und Zugriff auf geschützte Komponenten von 1000 auf 3000 Dollar. Die Belohnung für einen Exploit zur vollständigen Kompromittierung eines Chromebooks oder einer Chromebox im Gastzugriffsmodus wurde auf 150 US-Dollar erhöht.
Die Höchstzahlung für die Erstellung eines Exploits zur Flucht aus der Chrome-Sandbox-Umgebung wurde von 15 auf 30 Dollar erhöht, für eine Methode zur Umgehung der Zugriffskontrolle in JavaScript (XSS) von 7.5 auf 20 Dollar, für die Organisation der Remote-Codeausführung beim Rendering Systemebene von 7.5 bis 10 4 Dollar, zur Identifizierung von Informationslecks - von 5 bis 20-7500 Dollar. Es wurden Zahlungen für Methoden des Spoofings in der Benutzeroberfläche (5000 US-Dollar), der Eskalation von Berechtigungen auf der Webplattform (5000 US-Dollar) und der Umgehung des Schutzes vor der Ausnutzung von Schwachstellen (1000 US-Dollar) eingeführt. Die Zahlungen für die Erstellung einer qualitativ hochwertigen und grundlegenden Beschreibung einer Schwachstelle ohne den Nachweis eines Exploits wurden verdoppelt. Die Bonuszahlung für die Identifizierung einer Schwachstelle mithilfe von Chrome Fuzzer wurde auf XNUMX US-Dollar erhöht.
Source: opennet.ru