Google kündigt neues Bug-Bounty-Programm für Open-Source-Software an

Veröffentlicht am: 31. August 2022

Google angekündigt am Dienstag, dass es Sicherheitsforscher dafür bezahlen wird, Fehler in den neuesten Versionen der von Google veröffentlichten Open-Source-Software (Google OSS) zu finden und zu melden.

Der Tech-Riese ist neu gestartet Belohnungsprogramm für Schwachstellen (VRP) konzentriert sich hauptsächlich auf Google-Software- und Repository-Einstellungen (einschließlich GitHub-Aktionen, Anwendungskonfigurationen und Zugriffssteuerungsregeln).

Dieses Programm gilt für Software, die in öffentlichen Repositories von Google-eigenen GitHub-Organisationen zusammen mit einigen Repositories von anderen Plattformen verfügbar ist.

Sicherheitslücken in Google OSS-Drittanbieter-Abhängigkeiten stehen auch für dieses Programm im Fokus, unter der Bedingung, dass die Fehlerberichte zuerst an die Eigentümer der anfälligen Pakete gesendet werden. Auf diese Weise werden die Probleme bereits behoben, bevor Google über die Ergebnisse informiert wird.

„Die höchsten Auszeichnungen gehen an Schwachstellen, die in den sensibelsten Projekten gefunden wurden: Bazel, Angular, Golang, Protocol Buffers und Fuchsia“, sagte Google in seiner Erklärung am Dienstag.

Googles OSS VRP konzentriert sich hauptsächlich auf Sicherheitslücken, die die größten Auswirkungen auf die Softwarelieferkette haben würden.

Infolgedessen ermutigt das Unternehmen Bug-Bounty-Jäger, sich auf Schwachstellen zu konzentrieren, die zu einer Kompromittierung der Lieferkette, Designproblemen, die Produktschwachstellen verursachen, und Sicherheitsproblemen führen könnten. Zu diesen Problemen können durchgesickerte Anmeldeinformationen, schwache Passwörter oder unsichere Installationen gehören.

Abhängig vom Schweregrad der Schwachstellen und der Bedeutung des Projekts reichen die endgültigen Belohnungen von insgesamt 100 bis 31,337 US-Dollar.

„Bevor Sie beginnen, sehen Sie sich bitte die Programmregeln an, um weitere Informationen zu Projekten außerhalb des Geltungsbereichs und Schwachstellen zu erhalten, hacken Sie dann los und teilen Sie uns mit, was Sie finden. Wenn Ihre Einreichung besonders ungewöhnlich ist, werden wir uns an Sie wenden und direkt mit Ihnen zusammenarbeiten, um sie zu prüfen und zu beantworten“, sagte Google in seiner Erklärung.

„Neben einer Belohnung können Sie auch öffentliche Anerkennung für Ihren Beitrag erhalten. Sie können sich auch dafür entscheiden, Ihre Belohnung mit dem Doppelten des ursprünglichen Betrags für wohltätige Zwecke zu spenden“, fügte der Technologieriese hinzu.