Google anuncia un nuevo programa de recompensas por errores de software de código abierto

Publicado el: 31 de agosto de 2022

Google anunció el martes que pagará a los investigadores de seguridad para encontrar e informar errores en las últimas versiones del software de código abierto lanzado por Google (Google OSS).

El gigante tecnológico acaba de lanzar Programa de Recompensa de Vulnerabilidad (VRP) se centra principalmente en el software de Google y la configuración del repositorio (incluidas las acciones de GitHub, las configuraciones de la aplicación y las reglas de control de acceso).

Este programa se aplica al software disponible en repositorios públicos de organizaciones de GitHub propiedad de Google junto con algunos repositorios de otras plataformas.

Las vulnerabilidades de seguridad en las dependencias de terceros de Google OSS también están en el punto de mira de este programa, con la condición de que los informes de errores se envíen primero a los propietarios de los paquetes vulnerables. De esta forma, los problemas ya están resueltos antes de informar a Google de los hallazgos.

“Los principales premios se otorgarán a las vulnerabilidades encontradas en los proyectos más sensibles: Bazel, Angular, Golang, Protocol buffers y Fuchsia”, dijo Google en su comunicado el martes.

El OSS VRP de Google pone la mayor parte de su énfasis en las fallas de seguridad que tendrían el impacto más significativo en la cadena de suministro de software.

Como resultado, la empresa anima a los cazadores de recompensas por errores a centrarse en las vulnerabilidades que podrían poner en peligro la cadena de suministro, problemas de diseño que provocan vulnerabilidades en los productos y problemas de seguridad. Estos problemas podrían incluir credenciales de inicio de sesión filtradas, contraseñas débiles o instalaciones inseguras.

Según el nivel de gravedad de las vulnerabilidades y la importancia del proyecto, las recompensas finales oscilan entre $100 y $31,337 XNUMX en total.

“Antes de comenzar, consulte las reglas del programa para obtener más información sobre proyectos y vulnerabilidades fuera del alcance, luego piratee y háganos saber lo que encuentra. Si su envío es particularmente inusual, nos comunicaremos con usted y trabajaremos directamente con usted para evaluar y responder”, dijo Google en su declaración.

“Además de una recompensa, puedes recibir un reconocimiento público por tu contribución. También puede optar por donar su recompensa a la caridad por el doble de la cantidad original”, agregó el gigante tecnológico.