O Google introduziu uma recompensa de US$ 250 mil em seu Programa de Recompensas por Vulnerabilidades (VRP) na Cloud para falhas graves de segurança arquitetural, incluindo desvios do isolamento entre clientes e bugs complexos entre serviços que poderiam dar a um invasor controle administrativo total de organizações ou projetos do Google Cloud.
Para se qualificar, os pesquisadores devem demonstrar controle equivalente à permissão “roles/owner” ou controle total do IAM sobre organizações ou projetos arbitrários, sem acesso prévio nem configuração especial do projeto. A exploração não pode depender de credenciais comprometidas, engenharia social ou interação do usuário.
O CISO do Google Cloud, Chris Betz, afirmou que os relatos que demonstrarem execução remota de código na infraestrutura de produção subjacente da empresa, conhecida como Borg, ou que alcançarem root-in-prod também serão avaliados para determinar se são elegíveis. Pesquisadores que obtiverem execução na infraestrutura de produção devem interromper os testes: novas tentativas de escalonamento, tentativas de obter credenciais de produção ou movimentação lateral são proibidas e podem levar à desqualificação.
O Google afirma que os pesquisadores não devem testar projetos reais de clientes. Em vez disso, a empresa introduziu um processo determinístico de prova de root que usa uma conta de serviço designada, permitindo que os pesquisadores demonstrem criptograficamente o acesso não autorizado. As regras do programa fornecem especificações de endpoints, cargas JSON e exemplos de linha de comando.
A recompensa ampliada vem após a decisão do Google de suspender, em outubro, o recebimento de envios para seu Programa de Recompensas por Vulnerabilidades em Software de Código Aberto, após receber uma enxurrada de relatos gerados por IA. Desde o lançamento de seu primeiro programa de recompensas por vulnerabilidades, em 2010, o Google afirma ter pago mais de US$ 81,6 milhões aos pesquisadores. Em 2025, a empresa concedeu US$ 17,1 milhões a mais de 700 pesquisadores, ante US$ 12 milhões em 2024.
Fontes: BleepingComputer.