Podjetje Google je napovedalo razširitev pobude za izplačilo denarnih nagrad za odkrivanje varnostnih težav v jedru Linux, platformi za orkestracijo kontejnerjev Kubernetes, motorju GKE (Google Kubernetes Engine) in okolju za organizacijo tekmovanj v odkrivanju ranljivosti kCTF (Kubernetes Capture the Flag).
V program nagrad so uvedli dodatne bonuse v višini 20.000 dolarjev za 0-day ranljivosti, za izkoriščanja, ki ne zahtevajo aktiviranja podpore prostora imen uporabniških identifikatorjev (user namespaces), ter za prikazovanje novih metod izkoriščanja. Osnovno izplačilo za prikaz delujočega izkoriščanja v kCTF znaša 31.337 dolarjev (osnovno izplačilo se izplača udeležencu, ki prvi pokaže delujoče izkoriščanje, vendar se bonusi lahko uporabijo tudi za poznejša izkoriščanja za isto ranljivost).
Skupaj z upoštevanjem bonusov lahko maksimalna višina nagrade za 1-day izkoriščanje (težave, ugotovljene na podlagi analize popravljalnih popravkov v kodi, ki niso jasno označene kot ranljivosti) doseže do 71.337 dolarjev (bil je 31.337 dolarjev), za 0-day (težave, za katere še ni popravkov) pa 91.337 dolarjev (bil je 50.337 dolarjev). Program izplačil bo veljal do 31. decembra 2022.
Omeniti velja, da je Google v zadnjih treh mesecih obdelal 9 prijav z informacijami o ranljivostih, za katere je bilo izplačanih 175.000 dolarjev. Raziskovalci, ki so sodelovali, so pripravili pet izkoriščanj za 0-day ranljivosti in dva za 1-day ranljivosti. O treh težavah, ki so že bile odpravljene v jedru Linux (CVE-2021-4154 v cgroup-v1, CVE-2021-22600 v af_packet in CVE-2022-0185 v VFS), so informacije postale javne (omenjene težave so bile pred tem že odkrite preko Syzkaller in za dve težavi v jedru so bila dodana popravila).
Izvor: opennet.ru
