Redazione RHC : 7 Maggio 2024 07:52
Google sta decuplicando le ricompense per le vulnerabilità legate all’esecuzione di codice in modalità remota in alcune app Android, da 30.000 a 300.000 dollari. La ricompensa massima è ora di 450.000 dollari.
L’azienda ha apportato modifiche al suo programma bug bounty Mobile Vulnerability Rewards Program (Mobile VRP), lanciato lo scorso anno. I nuovi termini si applicano principalmente alle app che l’azienda classifica come Tier 1: servizi Google Play, app Ricerca Google per Android (AGSA), Google Cloud e Gmail.
Ricordiamo che l’obiettivo principale di Mobile VRP è accelerare il processo di ricerca ed eliminazione dei punti deboli nelle applicazioni Android sviluppate o supportate da Google stessa.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il programma include app sviluppate con Google, ricercate da Google e sviluppate da Google LLC, Red Hot Labs, Google Samples, Fitbit LLC, Nest Labs Inc, Waymo LLC e Waze.
Pertanto, per le vulnerabilità che possono portare all’esecuzione di codice in modalità remota senza l’interazione dell’utente, ora puoi ottenere 300.000 dollari da Google. E per problemi legati al furto di dati sensibili, l’azienda pagherà fino a 75.000 dollari se gli exploit non richiedono l’intervento dell’utente e possono essere utilizzati da remoto.
Per report di qualità eccezionale che contengono una patch suggerita o un’altra soluzione efficace al problema, nonché un’analisi della causa principale della vulnerabilità che aiuta a identificare altre varianti del problema, Google è disposto a pagare anche di più.
Alla fine, i ricercatori potranno guadagnare fino a 450.000 dollari per gli exploit RCE per le applicazioni Tier 1.
Google ha inoltre aumentato i premi massimi a 150.000 dollari per le vulnerabilità nelle applicazioni Tier 2 (software che elabora i dati degli utenti o interagisce con applicazioni e servizi Google) e a 45.000 dollari per problemi nelle applicazioni Tier 3 (tutte le altre applicazioni coperte dal programma).
Tuttavia, per i report di bassa qualità che non contengono descrizioni accurate e dettagliate, i cacciatori di bug riceveranno la metà. Quindi, un buon rapporto dovrebbe contenere:
“Vogliamo garantire che i cacciatori di bug dedichino più tempo alla compilazione e alla finalizzazione dei loro rapporti. Per incoraggiarli a farlo, abbiamo introdotto un nuovo modificatore di ricompensa per ricompensare i cacciatori di bug per il tempo e lo sforzo extra che dedicano alla creazione di report di alta qualità che dimostrino chiaramente l’impatto delle vulnerabilità che trovano”, afferma l’ingegnere di Google Kristoffer Blasiak.
Aggiunge inoltre che durante l’anno del programma Mobile VRP, l’azienda ha ricevuto più di 40 segnalazioni di vulnerabilità e ha pagato ai ricercatori circa 100.000 dollari.
RedazioneLa stanza è la solita: luci tenui, sedie in cerchio, termos di tisane ormai diventate fredde da quanto tutti parlano e si sfogano. Siamo gli Shakerati Anonimi, un gruppo di persone che non avrebbe ma...
Un nuovo allarme sulla sicurezza nel mondo degli investimenti online viene portato all’attenzione da Paragon sec, azienda attiva nel settore della cybersecurity, che ha pubblicato su LinkedIn un pos...
Un’indagine su forum e piattaforme online specializzate ha rivelato l’esistenza di un fiorente mercato nero di account finanziari europei. Un’entità denominata “ASGARD”, sta pubblicizzando ...
C’è un fenomeno noto ma di cui si parla poco, e che ogni giorno colpisce senza distinzione: la pornografia algoritmica. È una forma di inquinamento semantico che trasforma l’identità digitale i...
Google si avvicina alla presentazione ufficiale di Gemini 3.0, il nuovo modello di intelligenza artificiale destinato a rappresentare uno dei passaggi più rilevanti nella strategia dell’azienda. Se...
