Google anuncia novo programa de recompensa de bugs de software de código aberto

Publicado em: 31 de agosto de 2022

Google anunciou na terça-feira que pagará pesquisadores de segurança para encontrar e relatar bugs nas versões mais recentes do software de código aberto lançado pelo Google (Google OSS).

O recém-lançado da gigante da tecnologia Programa de Recompensa de Vulnerabilidade (VRP) concentra-se principalmente nas configurações de software e repositório do Google (incluindo ações do GitHub, configurações de aplicativos e regras de controle de acesso).

Este programa se aplica a softwares disponíveis em repositórios públicos de organizações GitHub de propriedade do Google, juntamente com alguns repositórios de outras plataformas.

Vulnerabilidades de segurança nas dependências de terceiros do Google OSS também estão em foco para este programa, sob a condição de que os relatórios de bugs sejam enviados primeiro aos proprietários dos pacotes vulneráveis. Dessa forma, os problemas já são resolvidos antes de informar o Google sobre as descobertas.

“Os principais prêmios irão para vulnerabilidades encontradas nos projetos mais sensíveis: Bazel, Angular, Golang, buffers de protocolo e Fuchsia”, disse o Google em seu comunicado na terça-feira.

O OSS VRP do Google coloca maior ênfase nas falhas de segurança que teriam o impacto mais significativo na cadeia de fornecimento de software.

Como resultado, a empresa incentiva os caçadores de recompensas de bugs a se concentrarem em vulnerabilidades que podem levar ao comprometimento da cadeia de suprimentos, problemas de design que causam vulnerabilidades de produtos e problemas de segurança. Esses problemas podem incluir vazamento de credenciais de login, senhas fracas ou instalações inseguras.

Dependendo do nível de gravidade das vulnerabilidades e da importância do projeto, as recompensas finais variam de US$ 100 a US$ 31,337 no total.

“Antes de começar, consulte as regras do programa para obter mais informações sobre projetos e vulnerabilidades fora do escopo, depois comece a hackear e conte-nos o que você descobriu. Se o seu envio for particularmente incomum, entraremos em contato e trabalharemos diretamente com você para triagem e resposta”, disse o Google em seu comunicado.

“Além de uma recompensa, você pode receber reconhecimento público pela sua contribuição. Você também pode optar por doar sua recompensa para instituições de caridade pelo dobro do valor original”, acrescentou a gigante da tecnologia.