A empresa Google anunciou a expansão da iniciativa de recompensas financeiras por identificar problemas de segurança no núcleo do Linux, na plataforma de orquestração de contêineres Kubernetes, no motor GKE (Google Kubernetes Engine) e no ambiente de competições de identificação de vulnerabilidades kCTF (Kubernetes Capture the Flag).
O programa de recompensas agora inclui bônus adicionais de 20 mil dólares para vulnerabilidades zero-day, para exploits que não requerem a ativação do suporte a namespaces de usuários (user namespaces) e para a demonstração de novos métodos de exploração. O pagamento base para a demonstração de um exploit funcional no kCTF é de 31337 dólares (o pagamento base é feito ao participante que primeiro demonstra um exploit funcional, mas os pagamentos de bônus podem ser aplicados a exploits subsequentes para a mesma vulnerabilidade).
Considerando os bônus, o valor máximo da recompensa por um exploit de 1-day (problemas identificados com base na análise de correções na base de código que não estão claramente marcadas como vulnerabilidades) pode chegar a 71337 dólares (antes era $31337), enquanto para zero-day (problemas para os quais ainda não há correção) — 91337 dólares (antes era $50337). O programa de pagamentos estará em vigor até 31 de dezembro de 2022.
É importante notar que nos últimos três meses a Google analisou 9 solicitações sobre vulnerabilidades, pelas quais foram pagos 175 mil dólares. Os pesquisadores participantes prepararam cinco exploits para vulnerabilidades zero-day e dois para vulnerabilidades de 1-day. Para três problemas já corrigidos no núcleo do Linux (CVE-2021-4154 em cgroup-v1, CVE-2021-22600 em af_packet e CVE-2022-0185 em VFS), as informações foram divulgadas publicamente (os problemas mencionados já tinham sido identificados através do Syzkaller e correções foram adicionadas para dois problemas no núcleo).
Fonte: opennet.ru
