Google will Linux-Kernel besser schützen

Der Linux-Kernel ist eine Schlüsselkomponente für die Sicherheit des Internets. Google setzt Linux in fast allen Bereichen ein, von den Computern bis hin zu den Produkten, die Menschen auf der ganzen Welt täglich nutzen, wie Chromebooks, Android auf Telefonen, Autos und Fernsehern sowie Workloads in der Google Cloud. Aus diesem Grund hat das Unternehmen stark in die Sicherheit von Linux investiert und wird seine Belohnungen für Bug-Hunter Googles im kCTF-Cluster (Kubernetes Capture The Flag) Programm erhöhen.

Dieses Bug Bounty Programm für den Linux-Kernel ist nur ein kleiner Teil des gesamten Vulnerability Reward Programs von Google, das Android, Chrome und andere Open-Source-Projekte umfasst. Im Jahr 2021 zahlte Google 8,7 Millionen Dollar an Belohnungen aus, davon 2,9 Millionen Dollar für Android-Bugs und 3,3 Millionen Dollar für Chrome-Bugs.

Google zahlt zwischen 20.000 und 91.337 US-Dollar an Forscher, die Sicherheitslücken im Linux-Kernel, im Container-Management-System Kubernetes und in der Kubernetes-Engine der Google Cloud finden.

Diese Aktion baut auf dem dreimonatigen Kopfgeld auf, das Google im November eingeführt hatte. Damals verdreifachte das Unternehmen die Belohnungen für die Ausnutzung neuer und bisher unbekannter Fehler im Linux-Kernel. Die Idee war, dass die Menge neue Techniken zur Ausnutzung des Kernels aufdecken würde, insbesondere für Dienste, die auf Kubernetes in der Cloud laufen.

Die Forscher mussten zeigen, dass sie den Exploit für einen bestimmten Fehler nutzen konnten, um Googles kCTF-Cluster (Kubernetes Capture The Flag) zu kompromittieren und eine Flagge (ein in einem Programm verstecktes Geheimnis) im Rahmen eines Wettbewerbs zu erhalten, der in diesem Fall auf Googles Cluster stattfand.

Google betrachtete das erweiterte Programm als Erfolg und wird es daher bis mindestens Ende 2022 verlängern. Es hat jedoch auch eine Reihe von Änderungen vorgenommen, die Regeln, Bedingungen und Belohnungen betreffen.

Erstens erhöht Google das aktualisierte und erweiterte Programm die maximale Belohnung für einen einzelnen Exploit von 50.337 $ auf 91.377 $.

Was den Erfolg der bestehenden Studie angeht, so hat Google nach eigenen Angaben in den drei Monaten neun Meldungen erhalten und über 175.000 Dollar an Belohnungen ausgezahlt. Zu den Einsendungen gehörten fünf Zero-Days oder bisher unbekannte Schwachstellen und zwei Exploits für „1days“ oder gerade entdeckte Schwachstellen. Drei davon wurden behoben und veröffentlicht, darunter CVE-2021-4154, CVE-2021-22600 (Patch) und CVE-2022-0185 (Update), so Google.

ZDNet.de Redaktion

Recent Posts

Google schließt zwei Zero-Day-Lücken in Android

Betroffen sind Android 12, 13, 14 und 15. Google sind zielgerichtete Angriffe auf die beiden…

12 Stunden ago

Gefährliche Weiterentwicklung der APT36-Malware ElizaRAT

Schadprogramm der pakistanischen Hackergruppe APT36 weitet seine Aktivitäten aus und verbessert seine Techniken.

17 Stunden ago

Google schließt weitere schwerwiegende Sicherheitslücken in Chrome 130

Tenable vergibt für beide Schwachstellen einen CVSS-Basis-Score von 9,8. Zwei Use-after-free-Bugs erlauben möglicherweise das Einschleusen…

19 Stunden ago

Microsoft nennt weitere Details zu kostenpflichtigen Patches für Windows 10

Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…

2 Tagen ago

Microsoft verschiebt erneut Copilot Recall

Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…

3 Tagen ago

GenKI im Job: Mitarbeitende schaffen Tatsachen

Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.

3 Tagen ago