Google will Linux-Kernel besser schützen

Der Linux-Kernel ist eine Schlüsselkomponente für die Sicherheit des Internets. Google setzt Linux in fast allen Bereichen ein, von den Computern bis hin zu den Produkten, die Menschen auf der ganzen Welt täglich nutzen, wie Chromebooks, Android auf Telefonen, Autos und Fernsehern sowie Workloads in der Google Cloud. Aus diesem Grund hat das Unternehmen stark in die Sicherheit von Linux investiert und wird seine Belohnungen für Bug-Hunter Googles im kCTF-Cluster (Kubernetes Capture The Flag) Programm erhöhen.

Dieses Bug Bounty Programm für den Linux-Kernel ist nur ein kleiner Teil des gesamten Vulnerability Reward Programs von Google, das Android, Chrome und andere Open-Source-Projekte umfasst. Im Jahr 2021 zahlte Google 8,7 Millionen Dollar an Belohnungen aus, davon 2,9 Millionen Dollar für Android-Bugs und 3,3 Millionen Dollar für Chrome-Bugs.

Google zahlt zwischen 20.000 und 91.337 US-Dollar an Forscher, die Sicherheitslücken im Linux-Kernel, im Container-Management-System Kubernetes und in der Kubernetes-Engine der Google Cloud finden.

Diese Aktion baut auf dem dreimonatigen Kopfgeld auf, das Google im November eingeführt hatte. Damals verdreifachte das Unternehmen die Belohnungen für die Ausnutzung neuer und bisher unbekannter Fehler im Linux-Kernel. Die Idee war, dass die Menge neue Techniken zur Ausnutzung des Kernels aufdecken würde, insbesondere für Dienste, die auf Kubernetes in der Cloud laufen.

Die Forscher mussten zeigen, dass sie den Exploit für einen bestimmten Fehler nutzen konnten, um Googles kCTF-Cluster (Kubernetes Capture The Flag) zu kompromittieren und eine Flagge (ein in einem Programm verstecktes Geheimnis) im Rahmen eines Wettbewerbs zu erhalten, der in diesem Fall auf Googles Cluster stattfand.

Google betrachtete das erweiterte Programm als Erfolg und wird es daher bis mindestens Ende 2022 verlängern. Es hat jedoch auch eine Reihe von Änderungen vorgenommen, die Regeln, Bedingungen und Belohnungen betreffen.

Erstens erhöht Google das aktualisierte und erweiterte Programm die maximale Belohnung für einen einzelnen Exploit von 50.337 $ auf 91.377 $.

Was den Erfolg der bestehenden Studie angeht, so hat Google nach eigenen Angaben in den drei Monaten neun Meldungen erhalten und über 175.000 Dollar an Belohnungen ausgezahlt. Zu den Einsendungen gehörten fünf Zero-Days oder bisher unbekannte Schwachstellen und zwei Exploits für „1days“ oder gerade entdeckte Schwachstellen. Drei davon wurden behoben und veröffentlicht, darunter CVE-2021-4154, CVE-2021-22600 (Patch) und CVE-2022-0185 (Update), so Google.

ZDNet.de Redaktion

Recent Posts

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

2 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

2 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

3 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

3 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

5 Stunden ago

Internet-Tempo in Deutschland: Viel Luft nach oben

Höchste Zeit für eine schnelle Kupfer-Glas-Migration. Bis 2030 soll in Deutschland Glasfaser flächendeckend ausgerollt sein.

6 Stunden ago