Google heeft aangekondigd de beloningsprogramma's voor het ontdekken van kwetsbaarheden in het Android-platform, de Chrome-browser en de onderliggende componenten uit te breiden. De maximale beloning voor het ontwikkelen van een exploit voor het Android-platform, dat het mogelijk maakt om code uit te voeren op het niveau van de Pixel Titan M2-chip zonder dat de gebruiker iets hoeft te doen (zero-click), is vastgesteld op 1,5 miljoen dollar, indien de aanvaller zich in het systeem kan vestigen, en 750.000 dollar voor aanvallen die geen blijvende controle over het systeem vestigen. Daarnaast zijn er beloningen ingesteld voor het extraheren van beveiligde gevoelige gegevens (tot $375.000) en het softwarematig omzeilen van het vergrendelingsscherm (tot $150.000).
De maximale beloning voor het ontwikkelen van een exploit voor Chrome, die bij het openen van een webpagina alle niveaus van browserisolatie kan omzeilen en zijn eigen code in het systeem kan uitvoeren, is verhoogd tot 250.000 dollar. Daarnaast is er een bonus van nog eens 250.000 dollar ($250.128) als de exploit geheugenoperaties raakt die beschermd zijn met het MiraclePtr-mechanisme. MiraclePtr biedt een omhulsel rond pointers dat extra controles uitvoert en de uitvoering beëindigt in het geval van toegang tot vrijgegeven geheugengebieden.
Daarnaast gelden er voor Chrome beloningen tot $10.000 voor het omzeilen van de isolatie tussen websites of toegangsbeperkingen in JavaScript (XSS), tot $5.000 voor het omzeilen van opslagbeperkingen, exploitatie van het renderingproces, het extraheren van gebruikersinformatie en het vervalsen van URL's in de adresbalk, evenals tussen $500 en $7.500 voor andere soorten kwetsbaarheden. Voor specifieke kwetsbaarheden in Chrome OS zijn beloningen vastgesteld tot $30.000 plus $10.000 voor het ontwikkelen van een patch.
Bron: opennet.ru
