Google частично пересматривает сокращение выплат за уязвимости в Chrome

Компания Google объявила о пересмотре системы вознаграждений в рамках программы Bug Bounty для браузера Chrome. Это решение представляет собой частичный откат от ранее анонсированных мер по сокращению выплат исследователям безопасности. Изменения в первую очередь касаются оценки сложности обнаруживаемых уязвимостей, что напрямую влияет на размер вознаграждения для специалистов по информационной безопасности.

Подробности

Согласно обновленной политике, Google реструктурирует систему выплат, фокусируясь на так называемых «сложных уязвимостях безопасности памяти» (complex memory safety vulnerabilities). Это означает, что исследователи, обнаружившие ошибки, требующие глубокого анализа и демонстрирующие высокую степень риска для пользователей, смогут получить повышенное вознаграждение по сравнению с недавно введенными ограничениями. Ранее Google объявляла о планах по снижению максимальных выплат, что вызвало критику со стороны сообщества исследователей безопасности. Текущее решение представляет собой компромиссный шаг: компания сохраняет фокус на наиболее опасных классах уязвимостей, таких как ошибки работы с памятью, которые часто приводят к RCE (удаленному выполнению кода) и другим критическим последствиям, однако смягчает общие ограничения программы. Хотя конкретные суммы пересмотренных вознаграждений не раскрываются в полном объеме, сам факт пересмотра политики свидетельствует о признании Google важности мотивации независимых исследователей. Программа Bug Bounty для Chrome остается одной из самых масштабных в индустрии, и любые изменения в ней традиционно привлекают внимание всего ИБ-сообщества.

Что делать

Исследователям безопасности, участвующим в программе Chrome Bug Bounty, рекомендуется: - Ознакомиться с обновленными правилами и критериями оценки уязвимостей на официальной странице программы Google. - Уделить особое внимание поиску сложных уязвимостей безопасности памяти, так как именно они теперь являются приоритетным направлением для получения повышенных выплат. - Пересмотреть свои текущие отчеты и при необходимости переклассифицировать найденные проблемы в соответствии с новыми критериями. - Следить за дальнейшими анонсами Google, так как политика программы может продолжать корректироваться. Организациям, использующим Chrome в корпоративной среде, не требуется предпринимать каких-либо экстренных действий — изменения касаются исключительно процесса вознаграждения исследователей, а не механизмов устранения уязвимостей. Тем не менее, важно продолжать своевременно устанавливать обновления браузера, чтобы получать исправления для уже обнаруженных проблем. Итог: частичный пересмотр политики Bug Bounty демонстрирует готовность Google прислушиваться к мнению ИБ-сообщества и сохранять стимулы для глубокого анализа безопасности браузера. Для специалистов это сигнал о том, что сложные исследования в области безопасности памяти остаются востребованными и достойно вознаграждаются.

Источник: SecurityWeek