Google oferece recompensas maiores para caçadores de vulnerabilidades

Depois de uma queda no número de pesquisadores que reportam brechas de segurança, o Google anunciou que vai aumentar alguns prêmios pagos como parte seu Vulnerability Rewards Program. Lançado no início de 2010, o programa recompensa financeiramente pesquisadores de segurança que descobrirem e reportarem vulnerabilidades de segurança no navegador da empresa e no Chromium OS.

De acordo com Chris Evans, engenheiro de software do Google, a queda no número de relatórios externos sobre falhas de segurança mostrou que bugs estão se tornando mais difíceis de achar, já que os esforços da comunidade fizeram o Chromium significativamente mais forte. Por causa disso, a empresa resolveu atualizar a estrutura de recompensa para incluir bônus adicionais de mil dólares ou mais.

Os bônus serão dados no topo da base de recompensa para problemas “particularmente exploráveis”, bugs encontrados no canal Stable das bases de código do software, e vulnerabilidades sérias que afetam uma gama maior de produtos, como bibliotecas open spurce usadas no Chromium. Como o Chrome e o Chromium empacotam o Adobe Flash, a empresa está oferecendo recompensas para vulnerabilidades no Flash; problemas encontrados em outros componentes usados em seus produtos, como o kernel do Linux↳Linux34 conteúdosKali Linux em um Servidor VPS: como, quando e por que usar?DevSecOps · dez 2024Construindo um Windows Service ou Linux Daemon com Worker Service & .NET Core – Parte 2Dev (Back & Front) · jul 2020Criando uma WebApi utilizando .NET, Linux e VSCodeDev (Back & Front) · ago 2019Ver tudo em DevSecOps →, também são elegíveis para o programa de recompensas.

Evan ressalta que o painel também vai dar recompensas para descobertas individuais; elas incluem vulnerabilidades críticas em drivers NVIDIA, ATI e Intel GPU, problemas quando se escala o privilégio do usuário localmente, bugs de segurança de 64 bits e renderização para browser exploits. O engenheiro de software acrescentou que não houve a descoberta de uma falha séria na biblioteca IJG libjpeg, usada pelo Google, em mais de uma década.

A base de recompensa do programa para vulnerabilidades de segurança elegíveis é US$ 500, podendo chegar a US$ 3.133,37 para um problema “particularmente severo”. Entretanto, no passado, o Google pagou recompensas de US$ 10 mil para bugs individuais especiais. De acordo com Evans, o programa já pagou mais de US$ 1 milhão para pesquisadores que reportaram bugs. O outro programa de recompensas da empresa, Safe Browsing, paga até US$ 20 mil para problemas encontrados em seus aplicativos web e em serviços como YouTube e Blogger.

Com informações de The H