Google programmes de récompense pour l'identification des vulnérabilités de leurs produits, applications Android et divers logiciels open source. Le montant total des récompenses versées en 2019 s'élevait à 6.5 millions de dollars, dont 2.1 millions de dollars pour des vulnérabilités dans les services Google, 1.9 million de dollars pour Android, 1 million de dollars pour Chrome et 800 2018 dollars pour les applications Google Play (le reste étant destiné aux dons). À titre de comparaison, en 3.4, un total de 2015 millions de dollars a été payé, et en 2, 9 millions de dollars. Sur 21 ans, le montant total des paiements s'est élevé à XNUMX millions de dollars.
461 chercheurs ont été récompensés. Le plus gros paiement de 201 mille dollars le chercheur Guang Gong, qui a identifié une vulnérabilité permettant l'exécution de code à distance sur l'appareil Pixel 3 (161 40 $ ont été reçus pour des vulnérabilités dans Android et XNUMX XNUMX pour des vulnérabilités dans Chrome).
En 2019, Google était un prix pour l'identification des vulnérabilités dans les applications Android populaires, et le coût de l'information sur une vulnérabilité exploitée à distance dans les applications Google Android a été augmenté de 5 20 à 1000 3000 dollars, la fuite de données et l'accès aux composants protégés de 150 XNUMX à XNUMX XNUMX dollars. La récompense pour un exploit visant à compromettre complètement un Chromebook ou une Chromebox à partir du mode d'accès invité a été augmentée à XNUMX XNUMX $.
Le paiement maximum pour créer un exploit pour échapper à l'environnement sandbox Chrome a été augmenté de 15 à 30 mille dollars, pour une méthode de contournement du contrôle d'accès en JavaScript (XSS) de 7.5 à 20 mille dollars, pour organiser l'exécution de code à distance lors du rendu niveau du système de 7.5 à 10 mille 4 mille dollars, pour identifier les fuites d'informations - de 5 à 20-7500 mille dollars. Des paiements ont été introduits pour les méthodes d'usurpation d'identité dans l'interface utilisateur (5000 5000 $), l'élévation des privilèges sur la plateforme Web (1000 XNUMX $) et le contournement de la protection contre l'exploitation des vulnérabilités (XNUMX XNUMX $). Les paiements pour la préparation d’une description basique et de haute qualité d’une vulnérabilité sans démontrer d’exploit ont été doublés. Le bonus pour l'identification d'une vulnérabilité à l'aide de Chrome Fuzzer a été augmenté à XNUMX XNUMX $.
Source: opennet.ru