Google ha presentato l'iniziativa kvmCTF, dove i ricercatori della sicurezza possono ricevere un premio in denaro per la scoperta di vulnerabilità nel hypervisor KVM (Kernel-based Virtual Machine). L'interesse di Google per KVM è dovuto al suo utilizzo nel servizio Google Cloud, nonché nelle piattaforme Android e ChromeOS (CrosVM si basa su KVM). Per ricevere il premio, è necessario dimostrare un attacco in un ambiente CTF (Capture the Flag) appositamente preparato basato su un recente kernel Linux che esegue una macchina virtuale, a cui si accede su richiesta. L'attaccante è invitato a sfruttare una vulnerabilità nel sottosistema KVM nel kernel Linux che gestisce il sistema host in questo ambiente.
È previsto un premio di 250.000 dollari per l'identificazione di una vulnerabilità precedentemente sconosciuta che consente di uscire da una macchina virtuale. Per vulnerabilità che permettono la scrittura in aree di memoria arbitraria, il premio è di 100.000 dollari. Sono previsti 50.000 dollari per vulnerabilità che portano a letture da aree di memoria arbitraria o scritture in aree di memoria contigue. Un premio di 20.000 dollari è disponibile per vulnerabilità DoS, mentre per letture da aree di memoria contigue il premio è di 10.000 dollari. Il premio per la scrittura o la lettura di aree di memoria arbitrarie può essere ricevuto modificando o ottenendo il valore di un indirizzo specifico in memoria. In caso di aree contigue, il premio è per errori riconosciuti dallo strumento di debugging KASAN (Kernel Address Sanitizer), come il buffer overflow o l'accesso a una zona di memoria già liberata. Il premio per una vulnerabilità DoS viene corrisposto al rilevamento di dereferenziazione di un puntatore nullo (null-ptr-deref in KASAN).
Fonte: opennet.ru
