Google ha annunciato l'espansione dell'iniziativa per il pagamento di ricompense in denaro per la scoperta di problemi di sicurezza nel kernel di Linux, nella piattaforma per l'orchestrazione dei container Kubernetes, nel motore GKE (Google Kubernetes Engine) e nell'ambiente per le competizioni di ricerca di vulnerabilità kCTF (Kubernetes Capture the Flag).
Il programma di ricompense include ulteriori pagamenti bonus di 20.000 dollari per le vulnerabilità 0-day, per gli exploit che non richiedono l'attivazione del supporto degli spazi dei nomi degli identificatori utente (user namespaces) e per la dimostrazione di nuovi metodi di sfruttamento. Il pagamento di base per la dimostrazione di un exploit funzionante in kCTF è di 31.337 dollari (il pagamento di base viene effettuato al partecipante che dimostra per primo un exploit funzionante, ma i pagamenti bonus possono essere applicati anche per successivi exploit per la stessa vulnerabilità).
In totale, considerando i bonus, l'importo massimo della ricompensa per un exploit 1-day (problemi identificati attraverso l'analisi delle correzioni nei codici, chiaramente non contrassegnati come vulnerabilità) può arrivare fino a 71.337 dollari (prima era 31.337 $), mentre per un 0-day (problemi per cui non esiste ancora una correzione) è di 91.337 dollari (prima era 50.337 $). Il programma di pagamenti sarà attivo fino al 31 dicembre 2022.
Si segnala che negli ultimi tre mesi Google ha elaborato 9 segnalazioni relative a vulnerabilità, per le quali sono stati pagati 175.000 dollari. I ricercatori partecipanti hanno preparato cinque exploit per vulnerabilità 0-day e due per vulnerabilità 1-day. Per tre problemi già corretti nel kernel di Linux (CVE-2021-4154 in cgroup-v1, CVE-2021-22600 in af_packet e CVE-2022-0185 in VFS), le informazioni sono state rese pubbliche (i problemi specificati erano già stati identificati tramite Syzkaller e per due problemi nel kernel erano state aggiunte delle correzioni).
Fonte: opennet.ru
