Google har ökat storleken på belöningarna för att upptäcka sårbarheter i Linux-kärnan och Kubernetes

Google har meddelat att de utökar sin initiativ för att betala ut belöningar för upptäckter av säkerhetsproblem i Linux-kärnan, plattformen för containerorkestrering Kubernetes, GKE (Google Kubernetes Engine) och miljön för sårbarhetstävlingar kCTF (Kubernetes Capture the Flag).

Belöningsprogrammet har introducerat ytterligare bonusutbetalningar på 20 000 dollar för 0-day sårbarheter, för exploateringar som inte kräver aktivering av användarnamnrymder (user namespaces) och för demonstration av nya exploateringstekniker. Den grundläggande utbetalningen för att demonstrera en fungerande exploatering i kCTF är 31 337 dollar (den grundläggande utbetalningen ges till den deltagare som först demonstrerar en fungerande exploatering, men bonusutbetalningar kan även tillämpas på efterföljande exploateringar för samma sårbarhet).

Tillsammans med bonusarna kan det maximala beloppet för belöningen för en 1-day exploatering (problem som upptäckts genom analys av felrättningar i koden, som tydligt inte märkts som sårbarheter) uppgå till 71 337 dollar (var 31 337 dollar), och för 0-day (problem för vilka det ännu inte finns någon fix) — 91 337 dollar (var 50 337 dollar). Utbetalningsprogrammet kommer att gälla till den 31 december 2022.

Det rapporteras att Google under de senaste tre månaderna har hanterat 9 ansökningar med information om sårbarheter, vilket resulterade i utbetalningar på 175 000 dollar. De medverkande forskarna har förberett fem exploateringar för 0-day sårbarheter och två för 1-day sårbarheter. För tre redan korrigerade problem i Linux-kärnan (CVE-2021-4154 i cgroup-v1, CVE-2021-22600 i af_packet och CVE-2022-0185 i VFS) har informationen offentliggjorts (de angivna problemen hade tidigare upptäckts via Syzkaller och för två av problemen i kärnan hade korrigeringar lagts till).

Källa: opennet.ru