Tvrtka Google objavila je proširenje inicijative za isplatu novčanih nagrada za otkrivanje sigurnosnih problema u Linux jezgru, platformi za orkestraciju kontejnera Kubernetes, motoru GKE (Google Kubernetes Engine) i okruženju za održavanje natjecanja u pronalaženju ranjivosti kCTF (Kubernetes Capture the Flag).
U program nagrada uvedene su dodatne bonus isplate u iznosu od 20 tisuća dolara za 0-day ranjivosti, za eksploite koji ne zahtijevaju uključivanje podrške za prostore imena korisničkih identifikatora (user namespaces) te za demonstraciju novih metoda eksploatacije. Osnovna isplata za demonstraciju funkcionalnog eksploita u kCTF-u iznosi 31337 dolara (osnovna isplata se daje sudioniku koji prvi demonstrira funkcionalni exploit, ali bonus isplate mogu se primijeniti i na sljedeće exploite za istu ranjivost).
U zbiru, uzimajući u obzir bonuse, maksimalni iznos nagrade za 1-day exploit (problemi otkriveni na temelju analize ispravaka grešaka u kodnoj bazi koji nisu jasno označeni kao ranjivosti) može doseći do 71337 dolara (bilo je $31337), a za 0-day (problemi za koje još nema ispravke) — 91337 dolara (bilo je $50337). Program isplata će trajati do 31. prosinca 2022. godine.
Izvještava se da je Google u posljednja tri mjeseca obradio 9 prijava s informacijama o ranjivostima, za koje je isplaćeno 175 tisuća dolara. Istraživači koji su sudjelovali pripremili su pet exploita za 0-day ranjivosti i dva za 1-day ranjivosti. Za tri ranjivosti koje su već ispravljene u Linux jezgru (CVE-2021-4154 u cgroup-v1, CVE-2021-22600 u af_packet i CVE-2022-0185 u VFS) informacije su javno otkrivene (navedeni problemi ranije su otkriveni putem Syzkaller-a i za dvije ranjivosti u jezgru dodane su ispravke).
Izvor: opennet.ru
