Google ka zgjeruar programin Cloud Vulnerability Reward Program (VRP) me një shpërblim maksimal prej 250,000 dollarësh për dobësi që mundësojnë kontroll të plotë administrativ. Kategoria «root-in-cloud» mbulon marrjen e privilegjeve «roles/owner» ose kontrollit të plotë IAM mbi organizata apo projekte arbitrare në Google Cloud.
Për t’u kualifikuar, sulmi nuk duhet të mbështetet në qasje paraprake në projekt, kredenciale të komprometuara më herët, ndërveprim të përdoruesit apo inxhinieri sociale. Do të vlerësohen edhe raportet për ekzekutim kodi në distancë (RCE) në Borg, infrastrukturën bazë të prodhimit të Google, ose për qasje root në prodhim.
Drejtuesi i sigurisë së Google Cloud, Chris Betz, paralajmëroi se studiuesit duhet të ndalojnë menjëherë testimin sapo të arrijnë ekzekutim kodi në Borg, për shkak të rrezikut për shërbimet dhe të dhënat e klientëve. Përshkallëzimi i privilegjeve, nxjerrja e kredencialeve të prodhimit dhe lëvizja anësore sjellin skualifikim.
Google ndalon testimin e shfrytëzimeve ndaj projekteve reale të klientëve. Në vend të kësaj, një mekanizëm «proof-of-root» me një llogari shërbimi të caktuar u lejon studiuesve të provojnë kriptografikisht qasjen e paautorizuar. Kompania do të analizojë pikën fillestare të hyrjes, kontekstin e ekzekutimit dhe sipërfaqen e sulmit për të verifikuar mundësinë e marrjes së plotë të kontrollit.
Burimi: SecurityWeek — lexoni artikullin e plotë në anglisht.
