Google lockt weitere Sicherheitsforscher an, sich an den Sicherheitsverbesserungen des Chrome-Browsers zu beteiligen, indem es die Anzahl der Sicherheitslücken weiter erhöht. Google hat kürzlich angekündigt, das maximale Kopfgeld für eine einzelne Schwachstelle im Chrome Vulnerability Security Bounty Program auf 250.000 US-Dollar zu erhöhen.
Google-Sicherheitsingenieure sagten in einem Blog:
Durch die Anpassung der ChromeVRP-Belohnung und des Betrags, um eine bessere Struktur und klarere Erwartungen für Sicherheitsforscher zu bieten, die an der Chrome-Schwachstellenforschung beteiligt sind, werden wir Sicherheitsforscher dazu anregen, Chrome-Sicherheitslücken eingehender zu untersuchen und qualitativ hochwertigere Schwachstellenberichte einzureichen.
Der maximale potenzielle Belohnungsbetrag für eine einzelne Schwachstelle wird jetzt auf 250.000 US-Dollar erhöht. Diese Belohnungsstufe gilt für die Demonstration von RCE (Remote Code Execution) in einem Nicht-Sandbox-Prozess: Wenn RCE des Nicht-Sandbox-Prozesses erreicht werden kann, ohne den Renderer zu beschädigen, haben Sie Anspruch auf einen höheren Betrag, einschließlich der Renderer-RCE-Belohnung.
Google erwähnte außerdem, dass sich der Betrag der Schwachstellenprämie für die MiraclePtr-Umgehung von 100.115 US-Dollar auf 250.128 US-Dollar verdoppelt hat. MiraclePtr ist eine von Google für Chrome eingeführte Sicherheitsminderungslösung, um den Schaden von UaF-Schwachstellen zu mindern.
Das Folgende ist die von Google klassifizierte Schwachstellenstufe:
Schwachstellen mit geringer Auswirkung: sehr geringe Verfügbarkeit, offensichtlich ausnutzbare Bedingungen, geringe Kontrollmöglichkeiten für Angreifer und geringes Risiko für Benutzer
Schwachstellen mit mittlerer Auswirkung: Die Voraussetzungen für die Ausnutzung sind moderat und die Kontrollfähigkeit des Angreifers ist moderat.
Schwachstellen mit großer Auswirkung: direkt ausnutzbar, nachweislich in der Lage, erheblichen Schaden anzurichten, aus der Ferne ausnutzbar und nur sehr geringe Voraussetzungen
Für alle Sicherheitslückenberichte kommen Schwachstellenprämien in Frage, sofern sie Merkmale der jeweiligen Stufe enthalten. Gleichzeitig erkundet Google auch experimentellere Belohnungsmöglichkeiten, ähnlich den früheren übermäßigen Belohnungen, die man erhalten könnte, wenn Schwachstellen in der gesamten Kette entdeckt würden.
Wenn der eingereichte Bericht keine potenziellen Sicherheitsrisiken aufzeigt, den Nutzern kaum Schaden zufügt oder es sich um einen rein theoretischen oder spekulativen Bericht handelt, ist es in diesem Fall natürlich in der Regel unwahrscheinlich, dass Google eine Belohnung erhält.