Der Linux-Kernel ist eine Schlüsselkomponente für die Sicherheit des Internets. Google setzt Linux in fast allen Bereichen ein, von den Computern bis hin zu den Produkten, die Menschen auf der ganzen Welt täglich nutzen, wie Chromebooks, Android auf Telefonen, Autos und Fernsehern sowie Workloads in der Google Cloud. Aus diesem Grund hat das Unternehmen stark in die Sicherheit von Linux investiert und wird seine Belohnungen für Bug-Hunter Googles im kCTF-Cluster (Kubernetes Capture The Flag) Programm erhöhen.
Dieses Bug Bounty Programm für den Linux-Kernel ist nur ein kleiner Teil des gesamten Vulnerability Reward Programs von Google, das Android, Chrome und andere Open-Source-Projekte umfasst. Im Jahr 2021 zahlte Google 8,7 Millionen Dollar an Belohnungen aus, davon 2,9 Millionen Dollar für Android-Bugs und 3,3 Millionen Dollar für Chrome-Bugs.
Google zahlt zwischen 20.000 und 91.337 US-Dollar an Forscher, die Sicherheitslücken im Linux-Kernel, im Container-Management-System Kubernetes und in der Kubernetes-Engine der Google Cloud finden.
Diese Aktion baut auf dem dreimonatigen Kopfgeld auf, das Google im November eingeführt hatte. Damals verdreifachte das Unternehmen die Belohnungen für die Ausnutzung neuer und bisher unbekannter Fehler im Linux-Kernel. Die Idee war, dass die Menge neue Techniken zur Ausnutzung des Kernels aufdecken würde, insbesondere für Dienste, die auf Kubernetes in der Cloud laufen.
Die Forscher mussten zeigen, dass sie den Exploit für einen bestimmten Fehler nutzen konnten, um Googles kCTF-Cluster (Kubernetes Capture The Flag) zu kompromittieren und eine Flagge (ein in einem Programm verstecktes Geheimnis) im Rahmen eines Wettbewerbs zu erhalten, der in diesem Fall auf Googles Cluster stattfand.
Google betrachtete das erweiterte Programm als Erfolg und wird es daher bis mindestens Ende 2022 verlängern. Es hat jedoch auch eine Reihe von Änderungen vorgenommen, die Regeln, Bedingungen und Belohnungen betreffen.
Erstens erhöht Google das aktualisierte und erweiterte Programm die maximale Belohnung für einen einzelnen Exploit von 50.337 $ auf 91.377 $.
Was den Erfolg der bestehenden Studie angeht, so hat Google nach eigenen Angaben in den drei Monaten neun Meldungen erhalten und über 175.000 Dollar an Belohnungen ausgezahlt. Zu den Einsendungen gehörten fünf Zero-Days oder bisher unbekannte Schwachstellen und zwei Exploits für „1days“ oder gerade entdeckte Schwachstellen. Drei davon wurden behoben und veröffentlicht, darunter CVE-2021-4154, CVE-2021-22600 (Patch) und CVE-2022-0185 (Update), so Google.
Der digitale Wandel hat die Art und Weise verändert, wie Verbraucherrechte gehandhabt werden. Insbesondere in…
Chrome speichert Passkeys nun auch unter Windows, macOS und Linux im Google Passwortmanager. Dadurch stehen…
In einem klimatisierten Büro mag ein herkömmlicher Laptop großartig sein, aber was passiert, wenn der…
Betroffen ist derzeit offenbar nur das iPad Pro M4. Es lässt sich Berichten von Nutzern…
Die EU-Kommission kann die Entscheidung noch anfechten. Das Gericht der Europäischen Union kassiert lediglich die…
Hacker können aus der Ferne Schadcode einschleusen und ausführen. Betroffen sind Chrome für Windows, macOS…