Google paiera désormais les chercheurs en sécurité qui trouveront et signaleront des bogues dans les dernières versions de ses logiciels libres.
Le programme de récompense des vulnérabilités récemment annoncé par l’entreprise se concentre sur les logiciels et les paramètres du référentiel de Google.
Les failles de sécurité dans les dépendances tierces de Google OSS sont couvertes par ce programme, à condition que les rapports de bogue soient d’abord envoyés aux propriétaires des paquets vulnérables, afin que les problèmes soient résolus en amont avant que Google ne soit informé des résultats.
L’entreprise encourage les chasseurs de bogues à se concentrer sur les vulnérabilités susceptibles de compromettre la chaîne d’approvisionnement, sur les problèmes de conception entraînant des vulnérabilités au niveau des produits et sur les problèmes de sécurité tels que les fuites d’informations d’identification, les mots de passe faibles ou les installations non sécurisées.
En février, Google a également presque doublé les récompenses pour les vulnérabilités zero day de Linux Kernel, Kubernetes, Google Kubernetes Engine, ou kCTF et les exploits de bogues utilisant des techniques d’exploitation uniques.
Depuis le lancement de son premier PRV en 2010, Google a versé plus de 38 millions de dollars à des milliers de chercheurs en sécurité de plus de 84 pays pour avoir signalé plus de 13 000 bogues.
