Google annonce un nouveau programme Open Source Bug Bounty

Publié le: 31 août 2022

Google annoncé mardi qu'il paiera des chercheurs en sécurité pour trouver et signaler les bogues dans les dernières versions des logiciels open source publiés par Google (Google OSS).

Le géant de la technologie vient d'être lancé Programme de récompense de vulnérabilité (VRP) se concentre principalement sur les paramètres du logiciel et du référentiel Google (y compris les actions GitHub, les configurations d'application et les règles de contrôle d'accès).

Ce programme s'applique aux logiciels disponibles sur les référentiels publics des organisations GitHub appartenant à Google, ainsi qu'à certains référentiels d'autres plates-formes.

Les vulnérabilités de sécurité dans les dépendances tierces de Google OSS sont également au centre de ce programme, à condition que les rapports de bogue soient d'abord envoyés aux propriétaires des packages vulnérables. De cette façon, les problèmes sont déjà résolus avant d'informer Google des résultats.

« Les principales récompenses iront aux vulnérabilités trouvées dans les projets les plus sensibles : Bazel, Angular, Golang, Protocol buffers et Fuchsia », a déclaré Google dans son communiqué mardi.

L'OSS VRP de Google met l'accent sur les failles de sécurité qui auraient le plus d'impact sur la chaîne d'approvisionnement des logiciels.

En conséquence, l'entreprise encourage les chasseurs de primes de bogues à se concentrer sur les vulnérabilités susceptibles de compromettre la chaîne d'approvisionnement, les problèmes de conception entraînant des vulnérabilités des produits et les problèmes de sécurité. Ces problèmes peuvent inclure des identifiants de connexion divulgués, des mots de passe faibles ou des installations non sécurisées.

Selon le niveau de gravité des vulnérabilités et l'importance du projet, les récompenses finales vont de 100 $ à 31,337 XNUMX $ au total.

"Avant de commencer, veuillez consulter les règles du programme pour plus d'informations sur les projets et les vulnérabilités hors de portée, puis faites-vous pirater et faites-nous savoir ce que vous trouvez. Si votre soumission est particulièrement inhabituelle, nous vous contacterons et travaillerons directement avec vous pour le triage et la réponse », a déclaré Google dans son communiqué.

« En plus d'une récompense, vous pouvez recevoir une reconnaissance publique pour votre contribution. Vous pouvez également choisir de faire don de votre récompense à une association caritative au double du montant initial », a ajouté le géant de la technologie.