Google ha introducido una recompensa de 250.000 dólares en su Programa de Recompensas por Vulnerabilidades (VRP) de Cloud para fallos arquitectónicos graves de seguridad, incluidos los que permiten eludir el aislamiento entre usuarios y los errores complejos que afectan a varios servicios y podrían dar a un atacante el control administrativo total de organizaciones o proyectos de Google Cloud.
Para optar al premio, los investigadores deben demostrar que tienen un control equivalente al permiso “roles/owner” o el control completo de IAM sobre organizaciones o proyectos arbitrarios, sin acceso previo ni una configuración especial del proyecto. El exploit no debe depender de credenciales comprometidas, ingeniería social ni interacción de usuarios.
Chris Betz, CISO de Google Cloud, dijo que también se evaluará si cumplen los requisitos para recibir el premio los informes que demuestren la ejecución remota de código en la infraestructura de producción subyacente de la empresa, conocida como Borg, o que consigan acceso root en producción. Los investigadores que obtengan ejecución en la infraestructura de producción deben detener las pruebas: está prohibido seguir escalando privilegios, intentar obtener credenciales de producción o desplazarse lateralmente, y hacerlo puede dar lugar a la descalificación.
Google afirma que los investigadores no deben realizar pruebas en proyectos de clientes reales. En su lugar, ha introducido un proceso determinista de prueba de acceso root que utiliza una cuenta de servicio designada, lo que permite a los investigadores demostrar criptográficamente que obtuvieron acceso sin autorización. Las reglas del programa incluyen especificaciones de endpoints, cargas útiles JSON y ejemplos de línea de comandos.
La ampliación de la recompensa se produce después de que Google decidiera suspender en octubre la recepción de informes para su Programa de Recompensas por Vulnerabilidades de Software de Código Abierto, tras recibir una avalancha de informes generados por IA. Desde que puso en marcha su primer programa de recompensas por vulnerabilidades en 2010, Google afirma haber pagado más de 81,6 millones de dólares a investigadores. En 2025, la empresa otorgó 17,1 millones de dólares a más de 700 investigadores, frente a los 12 millones de dólares de 2024.
Fuentes: BleepingComputer.