A Google bejelentette a Linux kernel biztonsági problémáinak felfedezéséért járó pénzjutalom kezdeményezésének kiterjesztését, a Kubernetes konténer-orkesztráló platformot, a GKE-t (Google Kubernetes Engine) és a kCTF-t (Kubernetes Capture the Flag) versenyek környezetét.
A jutalmak közé beszálltak új, 20 ezer dolláros bónuszok a 0-day sebezhetőségekért, a felhasználói névtér engedélyezését nem igénylő exploitokért, valamint új kihasználási módszerek bemutatásáért. A kCTF-ben egy működő exploit bemutatásának alapjutalma 31337 dollár (az alapjutalom a legelső működő exploitot bemutató résztvevőnek jár, de a bónuszok a későbbi exploitokra is érvényesek ugyanarra a sebezhetőségre).
A bónuszokkal együtt az 1-day exploit maximalizált jutalma (a kódalapban található hibajavításokra alapozott problémák, amelyek nyilvánvalóan nem voltak sebezhetőségek) akár 71337 dollárra is rúghat (korábban $31337), míg a 0-day esetében (azok a problémák, amelyekre még nincs javítás) 91337 dollár lehet (korábban $50337). A kifizetési program 2022. december 31-ig tart.
Megjegyzendő, hogy az elmúlt három hónapban a Google 9 bejelentett sebezhetőségről nyújtott be információt, amelyekért összesen 175 ezer dollárt fizettek. Az érintett kutatók öt exploitot készítettek a 0-day sebezhetőségekhez és kettőt az 1-day sebezhetőségekhez. Három, a Linux kernelben már javított probléma (CVE-2021-4154 a cgroup-v1-ben, CVE-2021-22600 az af_packet-ban és CVE-2022-0185 a VFS-ben) információja nyilvánosságra került (a fent említett problémák korábban már felfedeztek a Syzkaller segítségével, és a kernelhez két javítást is hozzáadtak).
Forrás: opennet.ru
