Xakep #305. Многошаговые SQL-инъекции
Компания Google опубликовала статику выплат по bug bounty программам за прошедший 2020 год. Оказалось, за это время исследователи из 62 стран мира обнаружили 662 уязвимости в продуктах Google, заработав на этом более 6 700 000 долларов.
Это самая крупная сумма выплат за все годы существования программ вознаграждения за уязвимости, превышающая даже 6 500 000 долларов, потраченные компанией в 2019 году.
Большинство выплат ИБ-эксперты получили за ошибки, найденные в рамках программы Chrome VRP (Vulnerabilities Rewards Program): более 2 100 000 долларов за 300 уязвимостей, обнаруженных в браузере Google. Это на 83% больше, чем в 2019 году.
Еще одной важной частью программы компании стала bug bounty инициатива для Android. На уязвимостях в коде мобильной ОС исследователи заработали порядка 1 740 000 долларов, и еще 270 000 долларов им принесли ошибки, найденные в популярных и широко используемых приложениях из Google Play Store.
Также в отчете компании перечислены следующие интересные цифры 2020 года:
- Бонус за предварительную версию Android 11составлял более 50 000 долларов и был применен к 11 отчетам. Это позволило Google исправить ряд проблем до официального релиза Android 11.
- Команде исследователей 360 Alpha Lab, организованной при компании Qihoo 360, принадлежат рекордные восемь эксплоитов (30% от общего количества) для различных уязвимостей. Недавно Alpha Lab продемонстрировала эксплоит для удаленного root-доступа в один клик, нацеленный на последние устройства на базе Android. Исследователям все еще лидируют, так как за свой эксплоит 2019 года они получили рекордную выплату в размере 161 337 долларов (плюс еще 40 000 долларов в рамках Chrome VRP).
- Другой неназванный исследователь представил в 2020 году два эксплоита и теперь тоже борется за первое место, так как суммарный размер заработанных им вознаграждений приближается к 400 000 долларов.
По программе исследовательских грантов Google ИБ-исследователям было передано около 400 000 долларов. Так, гранты получили более 180 экспертов, которые в итоге прислали 200 отчетов об ошибках, благодаря чему были обнаружены 100 подтвержденных багов в продуктах Google и опенсорсной экосистеме.
