Google jutalomprogramokat kínálnak termékeik, Android-alkalmazásaik és különféle nyílt forráskódú szoftvereik sebezhetőségeinek azonosításáért. A kifizetett jutalmak teljes összege 2019-ben 6.5 millió dollár volt, amelyből 2.1 millió dollárt a Google-szolgáltatások sebezhetőségeire, 1.9 millió dollárt Androidra, 1 millió dollárt a Chrome-ra és 800 ezer dollárt a Google Play alkalmazásokra fordítottak (a többit adományozásra fordították). Összehasonlításképpen 2018-ban összesen 3.4 millió dollárt, 2015-ben pedig 2 milliót fizettek ki. 9 év alatt a kifizetések teljes összege 21 millió dollárt tett ki.
461 kutató kapott díjat. A legnagyobb kifizetés 201 ezer dollár Guang Gong kutató, aki a Pixel 3 eszközön távoli kódfuttatást lehetővé tevő sebezhetőséget azonosított (161 ezer dollár érkezett az Android és 40 ezer a Chrome sebezhetőségéért).
2019-ben a Google volt díj a népszerű Android-alkalmazások sebezhetőségeinek azonosításáért, valamint a Google Android alkalmazások távolról kihasznált sebezhetőségéről szóló információk ára 5-ről 20 ezer dollárra, az adatszivárgás és a védett komponensekhez való hozzáférés 1000 dollárról 3000 dollárra emelkedett. A Chromebook vagy a Chromebox vendégelérési módból való teljes kompromittálására irányuló kihasználás jutalma 150 XNUMX dollárra emelkedett.
A Chrome sandbox környezetből való kitörést segítő exploit létrehozásának maximális összege 15-ről 30 ezer dollárra emelkedett, a JavaScript (XSS) hozzáférés-szabályozás megkerülésének módszeréért 7.5-ről 20 ezer dollárra, a távoli kódvégrehajtás megszervezéséért a renderelésnél. rendszerszint 7.5 és 10 ezer 4 ezer dollár között, információszivárgások azonosítására - 5 és 20-7500 ezer dollár között. Fizetést vezettek be a felhasználói felületen történő hamisítás (5000 USD), a webes platform jogosultságainak fokozása (5000 USD) és a sebezhetőségek kiaknázása elleni védelem megkerülése (1000 USD). Megduplázódott a sebezhetőség jó minőségű és alapszintű leírásának elkészítése, kihasználás nélkül. A sebezhetőség Chrome Fuzzer használatával történő azonosításáért fizetendő bónusz XNUMX dollárra emelkedett.
Forrás: opennet.ru