Google a introduit une récompense de 250 000 dollars dans son programme de récompenses pour les vulnérabilités du Cloud (VRP) pour les failles de sécurité architecturales graves, notamment les contournements de l’isolation entre locataires et les bogues complexes entre services, qui pourraient permettre à un attaquant d’obtenir le contrôle administratif total d’organisations ou de projets Google Cloud.
Pour être éligibles, les chercheurs doivent démontrer un contrôle équivalent à l’autorisation « roles/owner » ou un contrôle IAM complet sur des organisations ou des projets arbitraires, sans accès préalable ni configuration spéciale du projet. L’exploitation ne doit pas reposer sur des identifiants compromis, de l’ingénierie sociale ou une interaction de l’utilisateur.
Chris Betz, responsable de la sécurité des systèmes d’information de Google Cloud (CISO), a déclaré que les signalements démontrant une exécution de code à distance dans l’infrastructure de production sous-jacente de l’entreprise, connue sous le nom de Borg, ou l’obtention d’un accès root en production, seront également évalués afin de déterminer leur admissibilité. Les chercheurs qui obtiennent une capacité d’exécution sur l’infrastructure de production doivent cesser leurs tests : toute escalade supplémentaire, toute tentative d’obtention d’identifiants de production ou tout déplacement latéral est interdit et peut entraîner une disqualification.
Google indique que les chercheurs ne doivent pas effectuer de tests sur de véritables projets clients. À la place, l’entreprise a mis en place un processus déterministe de preuve d’accès root utilisant un compte de service désigné, qui permet aux chercheurs de démontrer de manière cryptographique un accès non autorisé. Les règles du programme fournissent les spécifications des points de terminaison, des charges utiles JSON et des exemples en ligne de commande.
Cette récompense élargie fait suite à la décision de Google de suspendre les soumissions à son programme de récompenses pour les vulnérabilités des logiciels open source en octobre, après avoir reçu un afflux de signalements générés par l’IA. Depuis le lancement de son premier programme de récompenses pour les vulnérabilités en 2010, Google indique avoir versé plus de 81,6 millions de dollars aux chercheurs. En 2025, l’entreprise a attribué 17,1 millions de dollars à plus de 700 chercheurs, contre 12 millions en 2024.
Sources: BleepingComputer.