Google ha introdotto un premio di 250.000 dollari nel suo Cloud Vulnerability Reward Program (VRP) per le vulnerabilità architetturali gravi, tra cui l’elusione dell’isolamento tra tenant e bug complessi che coinvolgono più servizi e che potrebbero consentire a un aggressore di ottenere il pieno controllo amministrativo delle organizzazioni o dei progetti Google Cloud.

Per essere ammessi, i ricercatori devono dimostrare di aver ottenuto un controllo equivalente all’autorizzazione “roles/owner” o il controllo completo di IAM su organizzazioni o progetti arbitrari, senza accesso precedente né configurazioni speciali del progetto. L’exploit non deve basarsi su credenziali compromesse, ingegneria sociale o interazione dell’utente.

Chris Betz, CISO di Google Cloud, ha dichiarato che verranno valutate ai fini dell’idoneità anche le segnalazioni che dimostrano l’esecuzione di codice da remoto nell’infrastruttura di produzione sottostante dell’azienda, nota come Borg, o il raggiungimento dei privilegi root in produzione. I ricercatori che ottengono l’esecuzione nell’infrastruttura di produzione devono interrompere i test: sono vietati ulteriori tentativi di escalation, di ottenere credenziali di produzione o di spostarsi lateralmente, e tali azioni possono comportare la squalifica.

Google afferma che i ricercatori non dovrebbero effettuare test sui progetti reali dei clienti. Ha invece introdotto una procedura deterministica di dimostrazione dei privilegi root che utilizza un account di servizio dedicato, consentendo ai ricercatori di dimostrare crittograficamente l’accesso non autorizzato. Le regole del programma forniscono specifiche degli endpoint, payload JSON ed esempi da riga di comando.

L’ampliamento del premio segue la decisione di Google di sospendere a ottobre l’invio di segnalazioni al suo Open Source Software Vulnerability Rewards Program, dopo aver ricevuto un’ondata di report generati dall’IA. Da quando ha lanciato il suo primo programma di ricompense per le vulnerabilità, nel 2010, Google afferma di aver pagato ai ricercatori più di 81,6 milioni di dollari. Nel 2025 l’azienda ha assegnato 17,1 milioni di dollari a oltre 700 ricercatori, rispetto ai 12 milioni del 2024.

Fonti: BleepingComputer.