Google

Google は本日、Chrome Web ブラウザをターゲットとしたサンドボックス エスケープ チェーンのエクスプロイトを報告したバグ報奨金ハンターに、2023 年 12 月 1 日まで標準の 3 倍の報奨金を受け取る資格があると発表しました。

同社の取り組みは、脅威アクターが Chrome ブラウザのセキュリティ メカニズムを侵害するのに役立つ可能性のある脆弱性を特定して報告することをセキュリティ研究者に奨励し、最終的に攻撃に対するソフトウェア全体の回復力の強化に役立てることを目的としています。

Chrome 脆弱性報奨プログラムのボーナスは、本日 6 月 1 日から有効になり、最初の機能的なフルチェーンエクスプロイトにのみ適用されます。

「完全なチェーンエクスプロイトは、サンドボックス外での攻撃者の制御/コード実行のデモンストレーションを伴って、Chrome ブラウザのサンドボックスから脱出する必要があります。エクスプロイトシナリオは完全にリモートであり、リモート攻撃者がエクスプロイトを使用できる必要があります」と Google は説明しています。 。

「対象となるフルチェーン エクスプロイトは、最初のバグ レポートの時点で、Chrome の拡張安定版、安定版、またはベータ リリースに対して機能する必要があります。バグが解決された後にエクスプロイトが提供された場合、出荷されている Chrome の実稼働バージョンに対してのみ機能する必要があります。」最初の報告の時点では。」

Chrome VRP を通じて送信された後続のフルチェーン エクスプロイトには、通常の報酬の 2 倍となる大幅なボーナスも付与されます。

フルチェーンエクスプロイトを提出することで、参加者は最高 180,000 ドルに達する報酬を得ることができ、他のボーナスによってさらに増額される可能性があり、残りの 6 か月の提出期間中に受け取った他のエクスプロイトに対しては最大 120,000 ドルが獲得できます。

Chrome セキュリティ チーム シニア テクニカル プログラムのエイミー レスラー氏は次のように述べています。「これらのエクスプロイトは、Chrome を悪用する潜在的な攻撃ベクトルに関する貴重な洞察を提供し、特定の Chrome 機能をより強化するための戦略や、将来の大規模な緩和戦略のアイデアを特定することを可能にします」マネジャー。

最近の Google VRP の開発

本日の発表は、Google の Android アプリケーションで見つかったセキュリティ上の欠陥に対して報奨金を提供する、5 月の新しいモバイル脆弱性報奨金プログラム (Mobile VRP)の開始に続くものです。

同社は8月、Bazel、Angular、Golang、プロトコルバッファ、Fuchsiaなどのプロジェクトを含む、Googleオープンソースソフトウェアの最新リリースバージョンで報告されたバグに対して支払いを行うことも発表した。

Google は、 2010 年の開始以来、10 年以上にわたり、脆弱性報奨プログラム (VRP) を通じて 15,000 件を超える脆弱性を報告した研究者に 5,000 万ドル以上の報奨金を支払ってきました。

昨年だけで、Google は Android エクスプロイト チェーンの一部である一連の 5 つのセキュリティ バグに対して gzobqq に記録的な 60 万 5,000 ドルの報奨金 (Android VRP 史上最高額) を含む1,200 万ドルを支払いました。

同じ研究者は前年にも別の重要な Android エクスプロイト チェーンを報告し、さらに 157,000 ドルという驚異的な支払い額を獲得しました。