גוגל הגדילה את כמות התגמולים עבור זיהוי נקודות תורפה בליבת לינוקס וב-Kubernetes

גוגל הודיעה על הרחבת היוזמה לשלם תגמולים במזומן עבור זיהוי בעיות אבטחה בליבת הלינוקס, פלטפורמת תזמור המכולות של Kubernetes, מנוע ה-GKE (Google Kubernetes Engine) וסביבת תחרות הפגיעות kCTF (Kubernetes Capture the Flag).

תוכנית הבאונטי כוללת בונוס נוסף של $20 עבור פגיעויות של 0 ימים, עבור ניצולים שאינם דורשים תמיכה במרחבי שמות משתמשים (מרחבי שמות משתמשים), ולהדגמת שיטות ניצול חדשות. התשלום הבסיסי עבור הדגמת ניצול עובד ב-kCTF הוא $31337 (תשלום הבסיס עובר למשתתף שמפגין לראשונה ניצול עובד, אך ניתן להחיל תשלומי בונוס על ניצול עוקב עבור אותה פגיעות).

בסך הכל, בהתחשב בבונוסים, התגמול המרבי עבור ניצול של יום אחד (בעיות שזוהו על סמך ניתוח של תיקוני באגים בבסיס הקוד שאינם מסומנים במפורש כפגיעויות) יכול להגיע עד $1 (היה $71337), ועבור 31337-יום (בעיות שעדיין לא תוקנו) - $0 (היה $91337). תוכנית התשלומים תהיה בתוקף עד ה-50337 בדצמבר 31.

יצוין כי במהלך שלושת החודשים האחרונים עיבדה גוגל 9 בקשות עם מידע על נקודות תורפה, בגינן שולמו 175 אלף דולר. החוקרים המשתתפים הכינו חמישה ניצולים עבור פגיעויות של 0 ימים ושניים עבור פרצות של יום אחד. שלוש בעיות שכבר תוקנו בליבת לינוקס (CVE-1-2021 ב-cgroup-v4154, CVE-1-2021 ב-af_packet ו-CVE-22600-2022 ב-VFS) נחשפו בפומבי (בעיות אלו כבר זוהו דרך Syzkaller ועבור נוספו תיקונים לקרנל שני תקלות).

מקור: OpenNet.ru