過去数ヶ月の間に Googleはセキュリティの問題に特別な注意を払っています カーネルで見つかりました LinuxとKubernetes昨年XNUMX月と同様に、Googleは、Linuxカーネルのこれまで知られていなかったバグに対するエクスプロイトの報奨金をXNUMX倍に増やしたため、支払いの規模を拡大しました。
アイデアは、人々がカーネルを悪用する新しい方法を発見できるというものでした。 特にクラウドで実行されているKubernetesに関連して。 Googleは現在、バグ発見プログラムが成功し、175,000か月でXNUMX件の報告を受け取り、XNUMXドル以上を研究者に支払ったと報告しています。
そしてそれはブログ投稿を通してです グーグルは再びイニシアチブの拡大についての発表を発表しました Linuxカーネル、Kubernetesコンテナオーケストレーションプラットフォーム、Google Kubernetes Engine（GKE）、およびKubernetes Capture the Flag（kCTF）脆弱性競合環境のセキュリティ問題を特定するための現金報酬を支払うため。
投稿はそれについて言及しています 現在、リワードプログラムには追加のボーナスが含まれています ユーザー名前空間のサポートを必要としないエクスプロイトのゼロデイ脆弱性と、新しいエクスプロイト手法のデモンストレーションに20,000ドル。
kCTFで有効なエクスプロイトを実証するための基本的な支払いは$ 31です（基本的な支払いは、最初に有効なエクスプロイトを実証した参加者に授与されますが、ボーナスの支払いは同じ脆弱性の後続のエクスプロイトに適用できます）。
コミュニティの注目を集めるには、報酬をコミュニティの期待に合わせる必要があることを認識したため、報酬を増やしました。 拡張は成功したと考えており、少なくとも年末（2022年）までさらに拡張したいと考えています。
過去9か月間に、175件の提出があり、これまでに000ドル以上を支払いました。
出版物ではそれを見ることができます 合計、 ボーナスを考慮に入れて、 エクスプロイトの最大報酬 （脆弱性として明示的にマークされていないコードベースのバグ修正の分析に基づいて特定された問題） 最大$ 71に達することができます （以前の最高報酬は$ 31でした）、ゼロデイ問題（まだ解決策がない問題）の場合、最大$ 337が支払われます（以前の最高報酬は$ 91,337でした）。 支払いプログラムは31年2022月XNUMX日まで有効です。
過去XNUMXか月で、 Googleは9件のリクエストを処理しましたc175ドルが支払われた脆弱性に関する情報が含まれています。
参加した研究者は、ゼロデイ脆弱性に対して1つのエクスプロイトを準備し、2021日脆弱性に対して4154つのエクスプロイトを準備しました。 Linuxカーネルの1つの修正された問題が公開されています（cgroup-v2021のCVE-22600-2022、af_packetのCVE-0185-XNUMX、VFSのCVE-XNUMX-XNUMX）（これらの問題は、Syzkallerを介してすでに特定されています。バグ修正がカーネルに追加されました）。
これらの変更により、一部の1日のエクスプロイトが$ 71（vs。$ 337）に増加し、31回のエクスプロイトの最大報酬が$ 337（vs。$ 91）になります。 また、（337ドルではなく）新しいエクスプロイト手法を示している場合は、重複に対しても少なくとも50ドルを支払います。 ただし、337日の報酬の数も、バージョン/ビルドごとに20つに制限されます。
各チャネルには年間12〜18のGKEリリースがあり、異なるチャネルに31つのグループがあるため、基本報酬の337米ドルを最大36回まで支払います（ボーナスの制限はありません）。 すべてのアップデートに有効な1日の配送があるとは限りませんが、そうでない場合はぜひお知らせください。
そのため、支払いの合計はいくつかの要因に依存することが発表で言及されています。見つかった問題がゼロデイ脆弱性である場合、非特権ユーザー名前空間が必要な場合、新しい悪用方法を使用している場合。 これらの各ポイントには、 $ 20,000、これは最終的に、実用的なエクスプロイトの支払いを $ 91,337。
最後にsあなたがそれについてもっと知りたいなら メモについては、元の投稿で詳細を確認できます 次のリンクで。