Η Google ξεκίνησε ένα νέο πρόγραμμα επιβράβευσης σφαλμάτων που υπόσχεται μερικές ζουμερές ανταμοιβές.
Το νέο
kvmCFT
ένα πρόγραμμα επιβράβευσης ευπάθειας (VRP) για τον υπερεπόπτη Virtual Machine (KVM) που βασίζεται στον πυρήνα που ανακοίνωσε για πρώτη φορά τον Οκτώβριο του 2023.
Το Virtual Machine (KVM) που βασίζεται στον πυρήνα είναι μια λειτουργική μονάδα εικονικοποίησης στον πυρήνα του
Linux
που επιτρέπει στον πυρήνα να λειτουργεί ως hypervisor. Παρέχει την υποδομή για τη διαχείριση και την εκτέλεση πολλαπλών εικονικών μηχανών (VM) σε έναν ενιαίο φυσικό κεντρικό υπολογιστή και κάθε VM μπορεί να εκτελέσει τη δική του παρουσία ενός λειτουργικού συστήματος, το οποίο μπορεί να διαφέρει από το
λειτουργικό σύστημα
υποδοχής.
Το Full VM escape πληρώνει τα περισσότερα
Η ενότητα βρίσκεται σε ανάπτυξη ανοιχτού κώδικα για περισσότερα από
15
χρόνια και αποτελεί σημαντικό μέρος του Android και του Google Cloud, είπε η εταιρεία.
«Σχεδιάσαμε το kvmCTF ως έναν συνεργατικό τρόπο για να βοηθήσουμε στον εντοπισμό και την αποκατάσταση τρωτών σημείων και να σκληρύνουμε περαιτέρω αυτό το θεμελιώδες όριο ασφαλείας», ανέφερε η Google στην ανάρτηση ιστολογίου.
Στο πρόγραμμα επιβράβευσης σφαλμάτων, η εστίαση θα είναι στα τρωτά σημεία zero-day, πράγμα που σημαίνει ότι η Google δεν θα πληρώσει για ελαττώματα n-day. Ωστόσο, η εταιρεία θα πραγματοποιεί διαφορετικές πληρωμές, ανάλογα με τη σοβαρότητα της ευπάθειας που ανακαλύφθηκε.
Το Full VM Escape θα σας αποφέρει 250.000 $. Η αυθαίρετη
μνήμη
γράφει $100.000, η αυθαίρετη μνήμη ανάγνωσης $50.000, η σχετική μνήμη εγγραφή $50.000, η άρνηση υπηρεσίας $20.000 και η σχετική μνήμη 10.000 $.
Για
τα πειράματα, η Google ετοίμασε έναν γυμνό μεταλλικό οικοδεσπότη που έτρεχε ένα μόνο επισκέπτη VM. Οι συμμετέχοντες θα κρατήσουν ένα χρονικό διάστημα για να αποκτήσουν πρόσβαση στην εικονική μηχανή επισκέπτη και να προσπαθήσουν να εκτελέσουν μια επίθεση. Ο στόχος είναι να εκμεταλλευτείτε μια ημέρα μηδέν είτε στο υποσύστημα KVM είτε στον πυρήνα του κεντρικού υπολογιστή.
Λεπτομέρειες σχετικά με ελαττώματα μηδενικής ημέρας θα κοινοποιηθούν στην Google μετά την κυκλοφορία μιας ενημέρωσης κώδικα upstream, διασφαλίζοντας ότι η Google τις λαμβάνει ταυτόχρονα με την υπόλοιπη κοινότητα ανοιχτού κώδικα. Όσοι ενδιαφέρονται να συμμετάσχουν στο πρόγραμμα κυνηγιού επικηρυγμένων μπορούν να βρουν περισσότερες πληροφορίες
εδώ
.
VIA:
TechRadar.com/
0