Google Bug-Bounty-Programm für Open-Source

Google hat am Dienstag angekündigt, dass es ein neues Bug-Bounty-Programm startet, das sich speziell auf Open-Source-Software konzentriert. Mit dem neuen Open Source Software Vulnerability Rewards Program (OSS VRP) können Bugjäger je nach Schweregrad der gefundenen Schwachstelle zwischen 100 und 31.000 Dollar verdienen.

Das neue Programm befasst sich mit einem großen Problem in der Software-Gemeinschaft: der Zunahme von Sicherheitslücken in der Lieferkette. Unter Berufung auf einen Bericht des Softwareunternehmens Sonatype stellt Google fest, dass Angriffe auf die Open-Source-Lieferkette im Jahr 2021 im Vergleich zum Vorjahr um 650 % zugenommen haben. Selbst einzelne Schwachstellen wie die im Dezember 2021 entdeckte schwerwiegende Log4j-Schwachstelle können großen Schaden anrichten.

Das neue Programm von Google ermutigt Fehlerjäger, nach Problemen in aktuellen Versionen von Open-Source-Software (einschließlich Repository-Einstellungen) zu suchen, die in den öffentlichen Repositories der Google-eigenen GitHub-Organisationen (wie Google, GoogleAPIs und GoogleCloudPlatform) gespeichert sind. Der Schwerpunkt liegt auch auf den Abhängigkeiten dieser Projekte von Drittanbietern.

Die höchsten Auszeichnungen werden für Schwachstellen vergeben, die in den sensibelsten Projekten gefunden wurden, die Google unterhält, darunter Bazel, Angular, Golang, Protocol buffers und Fuchsia. Google ermutigt die Fehlerjäger auch, nach Problemen zu suchen, die die größten Auswirkungen auf die Lieferkette haben könnten, z. B. Designprobleme, die zu Produktschwachstellen führen, oder Sicherheitsprobleme wie durchgesickerte Anmeldedaten.

Die Belohnungen reichen von 100 bis 31.337 Dollar, je nach Schwere der Schwachstelle und der Bedeutung des Projekts. „Die höheren Beträge werden auch für ungewöhnliche oder besonders interessante Schwachstellen vergeben, so dass Kreativität gefragt ist“, fügte Google in seinem Blogbeitrag hinzu.

Google gibt folgende rechtliche Hinweise: „Dies ist kein Wettbewerb, sondern ein experimentelles und diskretionäres Prämienprogramm. Sie sollten sich darüber im Klaren sein, dass wir das Programm jederzeit beenden können und die Entscheidung, ob eine Prämie ausgezahlt wird oder nicht, allein in unserem Ermessen liegt.

Ihre Tests dürfen nicht gegen Gesetze verstoßen oder Daten stören oder gefährden, die nicht Ihre eigenen sind. Um mögliche Interessenkonflikte zu vermeiden, werden wir keine Prämien an Personen vergeben, die bei Google oder Google-Partnerunternehmen beschäftigt sind und Software entwickeln, die unter dieses Programm fällt.“

ZDNet.de Redaktion

Recent Posts

Google schließt zwei Zero-Day-Lücken in Android

Betroffen sind Android 12, 13, 14 und 15. Google sind zielgerichtete Angriffe auf die beiden…

12 Stunden ago

Gefährliche Weiterentwicklung der APT36-Malware ElizaRAT

Schadprogramm der pakistanischen Hackergruppe APT36 weitet seine Aktivitäten aus und verbessert seine Techniken.

17 Stunden ago

Google schließt weitere schwerwiegende Sicherheitslücken in Chrome 130

Tenable vergibt für beide Schwachstellen einen CVSS-Basis-Score von 9,8. Zwei Use-after-free-Bugs erlauben möglicherweise das Einschleusen…

19 Stunden ago

Microsoft nennt weitere Details zu kostenpflichtigen Patches für Windows 10

Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…

2 Tagen ago

Microsoft verschiebt erneut Copilot Recall

Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…

3 Tagen ago

GenKI im Job: Mitarbeitende schaffen Tatsachen

Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.

3 Tagen ago