La société Google concernant l'augmentation des montants versés dans le cadre de paiements de récompenses pour la découverte de vulnérabilités dans le navigateur Chrome et dans ses composants sous-jacents.
Le montant maximum de la récompense pour la création d'un exploit permettant de sortir de l'environnement sandbox a été augmenté de 15 à 30 000 dollars, pour
la méthode de contournement des restrictions d'accès en JavaScript (XSS) de 7,5 à 20 000 dollars, pour la mise en place d'une exécution de code à distance au niveau du système de rendu de 7,5 à 10 000 dollars, pour la découverte de fuites d'informations — de 4 à 5-20 000 dollars. Des paiements ont été introduits pour les méthodes de spoofing dans l'interface utilisateur (7 500 $), pour l'élévation de privilèges sur la plateforme web (5 000 $) et pour le contournement de protections contre l'exploitation de vulnérabilités (5 000 $). Les paiements pour la préparation d'une description de qualité et de base (test pour démontrer le problème et version chrome) de la vulnérabilité sans démonstration d'exploit ont été doublés.
De plus, les chercheurs ont la possibilité de publier leur demande par étapes — d'abord, ils peuvent signaler l'existence de la vulnérabilité, puis fournir un exploit pour obtenir une récompense plus élevée. De plus, le bonus pour la découverte de vulnérabilités à l'aide de Chrome Fuzzer a été augmenté jusqu'à 1 000 dollars.
Pour Chrome OS, le montant pour un exploit permettant de compromettre complètement un Chromebook ou un Chromebox à partir du mode invité a été porté à 150 000 dollars. De nouveaux paiements pour des vulnérabilités dans le firmware et le système de verrouillage de l'écran ont été ajoutés.
Dans récompenses pour des vulnérabilités dans de Google Play, le prix des informations sur une vulnérabilité exploitable à distance a été augmenté de 5 à 20 000 dollars, ainsi que sur les fuites de données et l'accès à des composants protégés de 1 000 à 3 000 dollars.
Source : opennet.ru
