Google heeft het kvmCTF-initiatief geĆÆntroduceerd, waarbij beveiligingsonderzoekers een financiĆ«le beloning kunnen krijgen voor het ontdekken van kwetsbaarheden in de KVM-hypervisor (Kernel-based Virtual Machine). De interesse van Google in KVM is te verklaren door het gebruik van deze hypervisor in Google Cloud, evenals in de platforms Android en ChromeOS (CrosVM is gebaseerd op KVM). Om in aanmerking te komen voor de beloning, moet een hack worden gedemonstreerd in een speciaal voorbereide CTF-omgeving (Capture the Flag) op basis van een recent Linux-kernel die een virtuele machine draait, waarvan de toegang op aanvraag wordt verstrekt. Aanvallers wordt gevraagd een kwetsbaarheid in de subsystemen te exploiteren KVM in de Linux-kernel die de werking van de host-systeem in deze omgeving mogelijk maakt.
Voor het ontdekken van een eerder onbekende kwetsbaarheid die de mogelijkheid biedt om uit de virtuele machine te ontsnappen, is een beloning van 250.000 dollar beschikbaar, en voor kwetsbaarheden die het mogelijk maken om naar een willekeurig geheugenadres te schrijven, is dat 100.000 dollar. Voor kwetsbaarheden die leiden tot het lezen van een willekeurig geheugenadres of het schrijven naar aangrenzende geheugenlocaties, is een beloning van 50.000 dollar beschikbaar, voor een DoS-kwetsbaarheid is dat 20.000 dollar, en voor het lezen vanuit een aangrenzende geheugenlocatie is dat 10.000 dollar. Een beloning voor het schrijven of lezen van een willekeurige geheugenlocatie kan worden verkregen door een specifieke geheugenadreswaarde te wijzigen of te verkrijgen, en in het geval van aangrenzende geheugenlocaties door fouten die worden herkend door de KASAN (Kernel address sanitizer), zoals buffer-overflows of toegang tot reeds vrijgegeven geheugen. De beloning voor een DoS-kwetsbaarheid wordt uitbetaald bij het ontdekken van een null-pointer dereference (null-ptr-deref in KASAN).
Bron: opennet.ru
