Spoločnosť Google oznámila rozšírenie iniciatívy na vyplácanie finančných odmien za odhaľovanie bezpečnostných problémov v jadre Linux, platforme na orchestráciu kontajnerov Kubernetes, engíne GKE (Google Kubernetes Engine) a prostredí na usporiadanie súťaží v hľadaní zraniteľností kCTF (Kubernetes Capture the Flag).
Do programu odmien boli zavedené ďalšie bonusové platby vo výške 20-tisíc dolárov za 0-day zraniteľnosti, za exploity, ktoré nevyžadujú zapnutie podpory priestorov identifikátorov používateľov (user namespaces), a za predvedenie nových metód exploitácie. Základná platba za predvedenie funkčného exploitu v kCTF je 31 337 dolárov (základná platba sa vypláca účastníkovi, ktorý prvýkrát predvedie funkčný exploit, ale bonusové platby môžu byť uplatnené aj na ďalšie exploity pre tú istú zraniteľnosť).
V súčte s prihliadnutím na bonusy môže maximálna výška odmeny za 1-day exploit (problémy, ktoré boli odhalené na základe analýzy opráv chýb v kódovej základni, jasne neoznačených ako zraniteľnosti) dosiahnuť až 71 337 dolárov (predtým 31 337 dolárov), a za 0-day (problémy, pre ktoré ešte nie je oprava) — 91 337 dolárov (predtým 50 337 dolárov). Program vyplácania bude trvať do 31. decembra 2022.
Počítajúc s bonusmi, za posledné tri mesiace Google spracoval 9 žiadostí s informáciami o zraniteľnostiach, za ktoré boli vyplatené 175-tisíc dolárov. Výskumníci, ktorí sa zúčastnili, pripravili päť exploitov pre 0-day zraniteľnosti a dva pre 1-day zraniteľnosti. O troch už opravených problémoch v jadre Linux (CVE-2021-4154 v cgroup-v1, CVE-2021-22600 v af_packet a CVE-2022-0185 v VFS) boli informácie zverejnené verejne (uvedené problémy boli predtým odhalené prostredníctvom Syzkaller a pre dva problémy v jadre boli pridané opravy).
Zdroj: opennet.ru
