Firma Google ogłosiła rozszerzenie programu wypłat nagród za wykrywanie luk w platformie Android, przeglądarki Chrome i związanych z nimi komponentach. Maksymalna wysokość nagrody za stworzenie exploita dla platformy Android, który pozwala na uzyskanie wykonywania kodu na poziomie chipu Pixel Titan M2 bez podejmowania dodatkowych działań przez użytkownika (zero-click), wynosi 1,5 miliona dolarów, jeśli napastnik będzie w stanie utrzymać kontrolę nad systemem, oraz 750 tysięcy dolarów dla ataków, które nie ustanawiają stałej kontroli nad systemem. Dodatkowo ustanowiono nagrody za wydobycie chronionych danych poufnych (do 375 tysięcy dolarów) oraz za programowe ominięcie ekranu blokady (do 150 tysięcy dolarów).
Maksymalna wysokość nagrody za stworzenie exploita dla Chrome, który umożliwia obejście wszystkich poziomów izolacji przeglądarki podczas otwierania strony internetowej i wykonanie własnego kodu w systemie, została zwiększona do 250 tysięcy dolarów. Dodatkowo przewidziano bonus w wysokości 250 tysięcy dolarów (250128 dolarów), jeśli eksploatacja dotyczy operacji związanych z pamięcią, zabezpieczonych mechanizmem MiraclePtr. MiraclePtr zapewnia owijanie nad wskaźnikami, wykonując dodatkowe kontrole i awaryjnie kończąc działanie w przypadku wykrycia dostępu do zwolnionych obszarów pamięci.
Ponadto dla Chrome obowiązują nagrody w wysokości do 10 tysięcy dolarów za obejście izolacji między witrynami lub ograniczeń dostępu w JavaScript (XSS), do 5000 dolarów za obejście ograniczeń pamięci, eksploatację procesu renderowania, wydobycie informacji o użytkownikach oraz spoofing URL w pasku adresu, a także od 500 do 7500 dolarów za inne rodzaje luk. Za specyficzne dla Chrome OS luki ustalono nagrody w wysokości do 30 tysięcy dolarów plus 10 tysięcy dolarów za opracowanie poprawki.
Źródło: opennet.ru
