A Google bemutatja a kvmCTF kezdeményezést, melynek keretében a biztonsági kutatók pénzbeli jutalomban részesülhetnek a KVM (Kernel-alapú Virtuális Gép) hipervezérlőjében található sebezhetőségek felfedezéséért. A Google érdeklődése a KVM iránt részben annak köszönhető, hogy ezt a hipervezérlőt használják a Google Cloud szolgáltatásában, valamint az Android és ChromeOS platformokon (a CrosVM a KVM-re épül). A jutalom megszerzéséhez be kell mutatni a friss Linux kernelre épülő CTF (Capture the Flag) környezetben történő támadást, amelyhez virtuális gép hozzáférést kérés alapján biztosítanak. A támadónak ki kell használnia egy sebezhetőséget a rendszerben. KVM a Linux kernelben, amely biztosítja a hoszt rendszer működését ebben a környezetben.
A korábban ismeretlen sebezhetőség felfedezéséért, amely lehetővé teszi a virtuális gépből való kilépést, 250 ezer dolláros jutalom jár, míg a tetszőleges memória területre való írásra vonatkozó sebezhetőségekért 100 ezer dollárt, az önálló memória területek olvasására vagy szomszédos memória területek írására pedig 50 ezer dollárt kínálnak. A DoS sebezhetőségekért 20 ezer dollárt, míg a szomszédos memória területekből való olvasásért 10 ezer dollárt adnak. A tetszőleges memória terület olvasásáért vagy írásáért járó jutalom megszerezhető, ha egy konkrét memória cím értékét módosítják vagy megszerzik, a szomszédos memória területek esetén pedig a KASAN (Kernel address sanitizer) hibakereső eszközként hibák, például puffertúlcsordulás vagy már felszabadított memória terület elérésének észlelése révén. A DoS sebezhetőségért kifizetett jutalom a null pointer dereferálásának (null-ptr-deref a KASAN-ban) észlelése esetén jár.
Forrás: opennet.ru
