Google heeft aangekondigd zijn initiatieven voor het belonen van het ontdekken van beveiligingsproblemen in de Linux-kernel, het Kubernetes-containersysteem, de GKE-engine (Google Kubernetes Engine) en de omgeving voor kwetsbaarheidscompetities kCTF (Kubernetes Capture the Flag) uit te breiden.
In het beloningsprogramma zijn extra bonussen van 20.000 dollar toegevoegd voor 0-day kwetsbaarheden, voor exploits die geen ondersteuning voor gebruikersnamespaces vereisen, en voor het demonstreren van nieuwe exploitatiemethoden. De basisvergoeding voor het demonstreren van een werkende exploit in kCTF bedraagt 31.337 dollar (de basisvergoeding wordt gegeven aan de deelnemer die als eerste een werkende exploit demonstreert, maar de bonusbetalingen kunnen ook worden toegepast op latere exploits voor dezelfde kwetsbaarheid).
Met inachtneming van de bonussen kan de maximale beloning voor een 1-day exploit (problemen die zijn ontdekt op basis van analyse van bugfixes in de codebasis, die niet expliciet als kwetsbaarheden zijn gemarkeerd) oplopen tot 71.337 dollar (was $31.337), en voor 0-day (problemen waarvoor nog geen patch is) tot 91.337 dollar (was $50.337). Het betalingsprogramma zal actief zijn tot 31 december 2022.
Het is opgemerkt dat Google in de afgelopen drie maanden 9 aanvragen met informatie over kwetsbaarheden heeft verwerkt, waarvoor 175.000 dollar is uitgekeerd. Onderzoeksdeelnemers hebben vijf exploits voor 0-day kwetsbaarheden en twee voor 1-day kwetsbaarheden voorbereid. Voor drie al geoplossende problemen in de Linux-kernel (CVE-2021-4154 in cgroup-v1, CVE-2021-22600 in af_packet en CVE-2022-0185 in VFS) is de informatie openbaar gemaakt (de genoemde problemen waren eerder al ontdekt via Syzkaller en er zijn patches toegevoegd voor twee van de problemen in de kernel).
Bron: opennet.ru
