Google запровадив винагороду до 250 тисяч доларів за критичні хмарні вразливості
Google запровадив винагороду до 250 тисяч доларів за критичні вразливості Root-in-Cloud у Google Cloud.
Google розширив програму винагород за виявлення вразливостей у хмарних сервісах Cloud Vulnerability Reward Program, запровадивши найвищу виплату — до 250 тисяч доларів — за критичні архітектурні помилки класу Root-in-Cloud. Про це повідомляє BBC News.
Нова винагорода доступна дослідникам, які зможуть довести наявність вразливості, що дає повний адміністративний контроль над довільними організаціями або проєктами Google Cloud без попереднього доступу чи спеціального налаштування проєкту. Йдеться, зокрема, про обхід ізоляції між орендарями хмарної платформи та складні логічні помилки у взаємодії сервісів.
Умови для найбільшої виплати
За словами головного спеціаліста з інформаційної безпеки Google Cloud Кріса Бетца, рівень доступу має бути еквівалентний ролі roles/owner або повному контролю над системою керування ідентифікацією та доступом IAM. Також на відповідність критеріям Root-in-Cloud автоматично розглядатимуть повідомлення про віддалене виконання коду в базовій виробничій інфраструктурі Google Borg або про отримання root-доступу у виробничому середовищі.
Водночас експлойти не повинні залежати від попереднього доступу до проєкту жертви, скомпрометованих облікових даних, соціальної інженерії чи взаємодії користувача. Дослідникам, які досягли виконання коду у виробничій інфраструктурі Google, заборонено продовжувати тестування, підвищувати привілеї, отримувати виробничі облікові дані або переміщуватися між системами. Такі дії призведуть до дискваліфікації.
Безпечне підтвердження вразливостей
Керівник Cloud VRP Майкл Коте заявив, що компанія не хоче, аби дослідники перевіряли експлойти на реальних клієнтських проєктах. Для цього Google створила механізм детермінованого підтвердження root-доступу із призначеним сервісним обліковим записом: дослідники можуть криптографічно довести несанкціонований доступ до цієї ідентичності.
Компанія також опублікувала правила програми з технічними специфікаціями кінцевих точок, JSON-пакетами та прикладами командного рядка. Google запустила першу програму винагород за вразливості у 2010 році та відтоді виплатила дослідникам у світі понад 81,6 млн доларів. У 2025 році компанія виплатила рекордні 17,1 млн доларів більш ніж 700 дослідникам — на 40% більше, ніж 12 млн доларів у 2024 році.
