Google ได้ขยาย Cloud Vulnerability Reward Program (VRP) ด้วยการเพิ่มรางวัลสูงสุดสำหรับข้อบกพร่องด้านความปลอดภัยทางสถาปัตยกรรมที่มีผลกระทบสูง โดยนักวิจัยสามารถรับเงินรางวัล 250,000 ดอลลาร์ สำหรับบั๊ก Root-in-Cloud ซึ่งรวมถึงการหลีกเลี่ยงการแยกผู้เช่า (tenant-isolation bypasses) และข้อบกพร่องเชิงตรรกะข้ามบริการที่ซับซ้อน
Chris Betz, CISO ของ Google Cloud ระบุว่า ผู้ค้นคว้าต้องแสดงให้เห็นถึงการควบคุมระดับผู้ดูแลระบบเต็มรูปแบบเหนือองค์กรหรือโปรเจกต์ Google Cloud ใดๆ โดยไม่มีการเข้าถึงมาก่อน
นอกจากนี้ รายงานช่องโหว่ที่สามารถทำให้เกิดการรันโค้ดจากระยะไกล (RCE) ในโครงสร้างพื้นฐานการผลิตของ Google หรือการบรรลุ root-in-prod จะถูกนำไปประเมินโดยคณะกรรมการ VRP ของ Google Cloud
Michael Cote, หัวหน้า Cloud VRP เสริมว่า การโจมตีจะต้องไม่ขึ้นอยู่กับการเข้าถึงก่อนหน้า, ข้อมูลรับรองที่ถูกบุกรุก, หรือการโต้ตอบจากผู้ใช้ และผู้ค้นคว้าต้องหยุดการทดสอบเมื่อพบการดำเนินการบนโครงสร้างพื้นฐานการผลิตของ Google
ศัพท์ที่ควรรู้
- Cloud Vulnerability Reward Program (VRP) – โปรแกรมให้รางวัลสำหรับผู้ค้นพบช่องโหว่ในระบบคลาวด์ของ Google
- Root-in-Cloud bugs – ช่องโหว่ที่ทำให้ผู้โจมตีสามารถเข้าถึงระดับราก (root) ในสภาพแวดล้อมคลาวด์ของเหยื่อได้
- Tenant-isolation bypasses – ช่องโหว่ที่ช่วยให้ผู้โจมตีสามารถข้ามการแยกส่วนระหว่างผู้ใช้งานแต่ละรายในระบบเดียวกันได้
- RCE (Remote Code Execution) – การโจมตีที่ทำให้ผู้โจมตีสามารถสั่งให้รันโค้ดบนระบบเป้าหมายจากระยะไกลได้
ที่มา: bleepingcomputer.com