Google Bug-Bounty-Programm für Open-Source

Google hat am Dienstag angekündigt, dass es ein neues Bug-Bounty-Programm startet, das sich speziell auf Open-Source-Software konzentriert. Mit dem neuen Open Source Software Vulnerability Rewards Program (OSS VRP) können Bugjäger je nach Schweregrad der gefundenen Schwachstelle zwischen 100 und 31.000 Dollar verdienen.

Das neue Programm befasst sich mit einem großen Problem in der Software-Gemeinschaft: der Zunahme von Sicherheitslücken in der Lieferkette. Unter Berufung auf einen Bericht des Softwareunternehmens Sonatype stellt Google fest, dass Angriffe auf die Open-Source-Lieferkette im Jahr 2021 im Vergleich zum Vorjahr um 650 % zugenommen haben. Selbst einzelne Schwachstellen wie die im Dezember 2021 entdeckte schwerwiegende Log4j-Schwachstelle können großen Schaden anrichten.

Das neue Programm von Google ermutigt Fehlerjäger, nach Problemen in aktuellen Versionen von Open-Source-Software (einschließlich Repository-Einstellungen) zu suchen, die in den öffentlichen Repositories der Google-eigenen GitHub-Organisationen (wie Google, GoogleAPIs und GoogleCloudPlatform) gespeichert sind. Der Schwerpunkt liegt auch auf den Abhängigkeiten dieser Projekte von Drittanbietern.

Die höchsten Auszeichnungen werden für Schwachstellen vergeben, die in den sensibelsten Projekten gefunden wurden, die Google unterhält, darunter Bazel, Angular, Golang, Protocol buffers und Fuchsia. Google ermutigt die Fehlerjäger auch, nach Problemen zu suchen, die die größten Auswirkungen auf die Lieferkette haben könnten, z. B. Designprobleme, die zu Produktschwachstellen führen, oder Sicherheitsprobleme wie durchgesickerte Anmeldedaten.

Die Belohnungen reichen von 100 bis 31.337 Dollar, je nach Schwere der Schwachstelle und der Bedeutung des Projekts. „Die höheren Beträge werden auch für ungewöhnliche oder besonders interessante Schwachstellen vergeben, so dass Kreativität gefragt ist“, fügte Google in seinem Blogbeitrag hinzu.

Google gibt folgende rechtliche Hinweise: „Dies ist kein Wettbewerb, sondern ein experimentelles und diskretionäres Prämienprogramm. Sie sollten sich darüber im Klaren sein, dass wir das Programm jederzeit beenden können und die Entscheidung, ob eine Prämie ausgezahlt wird oder nicht, allein in unserem Ermessen liegt.

Ihre Tests dürfen nicht gegen Gesetze verstoßen oder Daten stören oder gefährden, die nicht Ihre eigenen sind. Um mögliche Interessenkonflikte zu vermeiden, werden wir keine Prämien an Personen vergeben, die bei Google oder Google-Partnerunternehmen beschäftigt sind und Software entwickeln, die unter dieses Programm fällt.“

ZDNet.de Redaktion

Recent Posts

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

19 Minuten ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

16 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

20 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

21 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

21 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

22 Stunden ago