Google ha appena lanciato un concorso bug bounty con una ricompensa massima di $ 250.000. Questo concorso mira a trovare difetti nell’hypervisor KVM (Kernel-based Virtual Machine) open source. Detto questo, i ricercatori di sicurezza possono ottenere questo importo per un attacco guest-to-host riuscito.
Versare stimolare la scoperta delle vulnerabilità, Google ha creato un programma di premi. Il primo posto può fruttare $ 250.000. Questa competizione si svolge come una cattura della bandiera. I partecipanti accedono come ospiti ed eseguono la scansione di KVM per individuare le vulnerabilità zero-day.
KVM, un progetto collaborativo
KVM lo è un progetto open source supportato da Google. Dal 2007 è incluso in Linux. KVM consente ai processori Intel e AMD di eseguire più macchine virtuali. Questa emulazione hardware è personalizzabile per diversi sistemi operativi. Google utilizza KVM per Android e Google Cloud per sottolinearne l’importanza per loro.
Annunciato lo scorso ottobre, il concorso kvmCTF è iniziato ufficialmente il 27 giugno. I partecipanti devono prima prenotare le fasce orarie UTC. Si connettono alla VM ospite su un host bare metal. Quindi, tentano un attacco da ospite a host.
L’obiettivo è quello trovare una vulnerabilità zero-day nel sottosistema KVM del kernel host. I difetti nell’emulatore QEMU o tramite tecniche da host a KVM non sono ammissibili. Le regole del concorso spiegano il processo, dal caricamento dei file alla prova dello sfruttamento.
Premi e categorie
Il blog sulla sicurezza di Google ha pubblicato i premi bug bounty il 27 giugno. I prezzi variano a seconda della gravità della vulnerabilità sfruttata.
Una fuga completa della macchina virtuale frutta $ 250.000. Una scrittura di memoria arbitraria vale 100.000. Una lettura di memoria arbitraria e una scrittura di memoria relativa valgono ciascuna 50.000. Un Denial of Service vale 20.000 mentre una lettura di memoria relativa vale 10.000.
I premi non sono cumulabili. Di conseguenza, gli hacker etici ricevono solo la ricompensa finale, senza passaggi intermedi. La prima presentazione riuscita è l’unico vincitore. Ad oggi, secondo il canale Discord kvmCTF, gli organizzatori non hanno ricevuto alcuna candidatura.
In breve, Google mostra il suo impegno proteggere le tue tecnologie con questa competizione. Offrendo ricompense sostanziose, Google spera di attrarre ricercatori nel campo della sicurezza. Questo programma di ricompensa dei bug potrebbe rafforzare la sicurezza di KVM. Ciò andrà a vantaggio di una vasta comunità di utenti e di piattaforme sicure che utilizzano KVM.
Condividi l’articolo:
Facebook
Cinguettio
LinkedIn
Il nostro blog è alimentato dai lettori. Quando acquisti tramite i link sul nostro sito, potremmo guadagnare una commissione di affiliazione.
