A empresa Google anunciou a expansão do programa de recompensas por identificação de vulnerabilidades na plataforma Android, no navegador Chrome e nos componentes subjacentes. O valor máximo da recompensa por desenvolver um exploit para a plataforma Android, que permite a execução de código no nível do chip Pixel Titan M2 sem a necessidade de ações especiais do usuário (zero-click), é de 1,5 milhão de dólares, caso o atacante consiga se infiltrar no sistema, e 750 mil dólares para ataques que não estabelecem controle permanente sobre o sistema. Além disso, foram estabelecidas recompensas para a extração de dados confidenciais protegidos (até 375 mil dólares) e para a contornagem do bloqueio de tela (até 150 mil dólares).
O valor máximo da recompensa por criar um exploit para o Chrome, que permite contornar todos os níveis de isolamento do navegador ao abrir uma página da web e executar seu código no sistema, foi aumentado para 250 mil dólares. Além disso, uma bonificação adicional de 250 mil dólares ($250128) é prevista se a exploração afetar operações relacionadas à memória, protegidas pelo mecanismo MiraclePtr. O MiraclePtr fornece um wrapper para ponteiros, realizando verificações adicionais e encerrando o funcionamento em caso de acesso a áreas de memória liberadas.
Além disso, para o Chrome, existem recompensas de até 10 mil dólares por contorno do isolamento entre sites ou limites de acesso em JavaScript (XSS), até 5 mil dólares por contorno de restrições de armazenamento, exploração do processo de renderização, extração de informações do usuário e spoofing de URL na barra de endereços, além de 500 a 7.500 dólares por outros tipos de vulnerabilidades. Para vulnerabilidades específicas do Chrome OS, foram estabelecidas recompensas de até 30 mil dólares mais 10 mil dólares pela criação de um patch.
Fonte: opennet.ru
