Google kondigt nieuw Open Source Software Bug Bounty-programma aan

Gepubliceerd op: 31 Augustus 2022

Kopen Google Reviews aangekondigd op dinsdag dat het beveiligingsonderzoekers zal betalen om bugs in de nieuwste versies van door Google uitgebrachte open-source software (Google OSS) te vinden en te rapporteren.

De techgigant is onlangs gelanceerd Kwetsbaarheid beloningsprogramma (VRP) richt zich voornamelijk op Google-software en repository-instellingen (inclusief GitHub-acties, applicatieconfiguraties en regels voor toegangscontrole).

Dit programma is van toepassing op software die beschikbaar is in openbare opslagplaatsen van GitHub-organisaties die eigendom zijn van Google, samen met enkele opslagplaatsen van andere platforms.

Beveiligingskwetsbaarheden in Google OSS-afhankelijkheden van derden staan ​​ook centraal voor dit programma, op voorwaarde dat de bugrapporten eerst naar de eigenaren van de kwetsbare pakketten worden gestuurd. Op deze manier worden de problemen al aangepakt voordat Google op de hoogte wordt gesteld van de bevindingen.

"De hoogste onderscheidingen gaan naar kwetsbaarheden in de meest gevoelige projecten: Bazel, Angular, Golang, Protocolbuffers en Fuchsia", zei Google dinsdag in zijn verklaring.

De OSS VRP van Google legt de meeste nadruk op beveiligingsfouten die de grootste impact zouden hebben op de softwaretoeleveringsketen.

Als gevolg hiervan moedigt het bedrijf bug bounty hunters aan om zich te concentreren op kwetsbaarheden die kunnen leiden tot compromissen in de toeleveringsketen, ontwerpproblemen die productkwetsbaarheden veroorzaken en beveiligingsproblemen. Deze problemen kunnen gelekte inloggegevens, zwakke wachtwoorden of onveilige installaties zijn.

Afhankelijk van de ernst van de kwetsbaarheden en het belang van het project, variëren de uiteindelijke beloningen van in totaal $ 100 tot $ 31,337.

“Bekijk voordat je begint de programmaregels voor meer informatie over projecten en kwetsbaarheden die buiten het bereik vallen, ga dan hacken en laat ons weten wat je vindt. Als uw inzending bijzonder ongebruikelijk is, zullen we contact met u opnemen en rechtstreeks met u samenwerken voor triage en respons', aldus Google in zijn verklaring.

“Naast een beloning kun je publieke erkenning krijgen voor je bijdrage. Je kunt er ook voor kiezen om je beloning te doneren aan een goed doel voor het dubbele van het oorspronkelijke bedrag”, voegde de techgigant eraan toe.