Google разширява програмата си за възнаграждение за открити уязвимости с нова категория Root-in-Cloud. Най-високата награда е предназначена за изследователи, които докажат възможност за получаване на пълен административен контрол над произволни облачни организации или проекти.
Google увеличава максималното възнаграждение в своята Cloud Vulnerability Reward Program (VRP) до 250 000 долара за уязвимости с особено висок риск, които могат да доведат до пълен контрол над Google Cloud организации.
Новата категория Root-in-Cloud обхваща критични архитектурни слабости, включително заобикаляне на изолацията между клиенти и сложни логически дефекти между облачни услуги. Подобни проблеми могат да позволят на нападател да получи административни права в чужда облачна среда.
Какво трябва да докажат изследователите
За да получат максималната награда, участниците трябва да демонстрират пълен административен контрол – еквивалентен на ролята roles/owner или на цялостен контрол върху Identity and Access Management (IAM) – над произволна Google Cloud организация или проект.
Според Крис Бетц, главен директор по информационна сигурност на Google Cloud, демонстрацията не трябва да изисква предварителен достъп до целевия проект или специална конфигурация от страна на неговия собственик.
Google уточнява и че доклади за отдалечено изпълнение на код (RCE) в основната производствена инфраструктура, включително Borg, или за постигане на root достъп в продукционна среда, автоматично ще бъдат разглеждани от VRP комисията за допустимост към категорията Root-in-Cloud.
Строги ограничения за безопасно тестване
Уязвимостите няма да отговарят на условията за максималното възнаграждение, ако експлоатацията им зависи от предварителен достъп до проекта на жертвата, компрометирани идентификационни данни, социално инженерство или взаимодействие от страна на потребителя.
Google въвежда и ограничения за изследователите, които успеят да постигнат изпълнение на код в производствената инфраструктура. Те трябва незабавно да прекратят проверките. Опитите за допълнително повишаване на привилегиите, извличане на производствени идентификационни данни или придвижване към други системи ще доведат до дисквалификация.
Ръководителят на Cloud VRP Майкъл Коте подчертава, че високите награди трябва да бъдат съпроводени от ясни и безопасни правила. Google не желае изследователите да тестват експлойти върху реални клиентски проекти.
За тази цел компанията е разработила механизъм за доказване на неоторизиран достъп чрез специално определен сервизен акаунт. Изследователите могат криптографски да потвърдят достъпа до тази идентичност, без да се налага тестване върху реални клиентски ресурси.
Техническите изисквания, спецификациите на крайните точки, JSON payloads и примерите за командния ред са публикувани в официалните правила на Google Cloud VRP.
На фона на растящия обем доклади, генерирани от ИИ
Новата категория се появява след като през октомври Google спря приемането на заявки в своята програма за възнаграждения за уязвимости в софтуер с отворен код (OSS VRP). Решението беше взето след рязко увеличаване на докладите, генерирани с помощта на ИИ.
Google съобщава, че от стартирането на първата си програма за възнаграждения през 2010 г. е изплатила над 81,6 милиона долара на хиляди изследователи по сигурността по света.
През 2025 г. компанията е изплатила рекордните 17,1 милиона долара на повече от 700 изследователи – увеличение с 40% спрямо 2024 г., когато общата сума е била 12 милиона долара.
Новата награда от 250 000 долара показва, че Google поставя особено висока стойност върху откриването на архитектурни слабости, способни да компрометират границите на доверие между облачни клиенти. При подобни дефекти рискът не се ограничава до отделна виртуална машина или услуга, а може да засегне самия модел на изолация и управление на достъпа в облачната платформа.
