الملخص:
أصدرت Google مؤخرًا إعلانًا تعلن فيه عن تعديلات على برنامج مكافأة الثغرات الأمنية في Chrome VRP. تم الإعلان عن القواعد الجديدة لتصبح سارية المفعول على الفور، مما شجع الباحثين الأمنيين على العثور على ثغرات أمنية تتعلق بمشكلات تلف الذاكرة في متصفحات جوجل. مع هذا التحديث، تمت زيادة المكافأة الأساسية لثغرات تلف الذاكرة من 500 دولار كحد أدنى إلى 2000 دولار، في حين أن ثغرات الكتابة الخاضعة للرقابة المثبتة في عمليات المتصفح والشبكة ووحدة معالجة الرسومات يمكن أن تكسب ما يصل إلى 20000 دولار.
يتم تصنيف مبالغ المكافآت وفقًا لنوع الثغرة الأمنية وتأثيرها:
تبلغ قيمة الثغرات الأمنية في عمليات المتصفح والشبكة ووحدة معالجة الرسومات ما يصل إلى 4000 دولار أمريكي لأخطاء القراءة أو التعطل، و10000 دولار أمريكي لأخطاء الكتابة والاستخدام بعد الاستخدام الحر، و10000 دولار أمريكي للقراءات الخاضعة للرقابة، و20000 دولار أمريكي لعمليات الكتابة الخاضعة للرقابة.
تحمل ثغرات الكتابة والاستخدام بعد الاستخدام المجاني في عملية العارض مكافأة قصوى تبلغ 8000 دولار أمريكي، وتبلغ تكلفة ثغرات وضع الحماية لمحرك V8 5000 دولار أمريكي، وتبلغ تكلفة ثغرات منطق محرك V8 4000 دولار أمريكي. تبلغ قيمة العمليات الأخرى المحمية بصندوق الحماية 2000 دولار لأخطاء القراءة أو التعطل و3000 دولار لأخطاء الكتابة والاستخدام بعد الاستخدام.
تطلب Google أيضًا أن يكون تقرير سلامة الذاكرة قابلاً للتكرار على البنية الأساسية لشركة Google. إذا لم يكن هناك تقرير لبيئة الاختبار المعمول بها، فقد يقتصر مبلغ المكافأة على المكافأة الأساسية. قالت Google إن هذا المطلب يهدف بشكل أساسي إلى مطابقة المكافآت مع نقاط الضعف القابلة للتكرار والتي لها تأثير فعلي أكبر.
تمت إضافة مكافأة متوسطة المخاطر ومكافأة Fuzzer المستعادة:
لقد أضاف برنامج Chrome VRP أيضًا مكافأة جديدة لثغرة أمنية غير متعلقة بالذاكرة. يمكن أن تحصل مشكلات S2 متوسطة المخاطر على مكافأة قدرها 2000 دولار إذا كان التقرير يحتوي على إصلاح أو يساهم بشكل مباشر في الإصلاح. إذا كانت هذه ثغرة أمنية للهروب من ثغرة أمنية غير متعلقة بالذاكرة ذات تأثير كبير، فسيتم تقديم مكافأة تصل إلى 20000 دولار أمريكي.
كما أعادت Google أيضًا منح Chrome Fuzzer Bonus البالغة 2000 دولار أمريكي لمكافأة الباحثين في مجال الأمن الذين يقومون بتطوير مختبري Fuzz الجدد والمساهمة بهم. أضافت Google أيضًا جوائز مجتمعية سنوية جديدة، مثل أفضل تقرير وأفضل ضعف. وقالت جوجل إنه مع تحسن قدرات الكشف عن الثغرات الداخلية في الذكاء الاصطناعي، يقوم برنامج المكافآت بتعديل اتجاهه لتشجيع الباحثين الأمنيين على العثور على المشكلات التي يصعب العثور عليها باستخدام الأدوات الآلية.
التعليقات