Google, Root-in-Cloud açıkları için 250.000 dolarlık yeni Cloud VRP ödülü ekledi

Google, Cloud Vulnerability Reward Program’ı (VRP) yüksek etkili mimari güvenlik açıkları için en üst düzey bir ödülle genişletti. Bu aydan itibaren araştırmacılar, kiracı izolasyonunu aşan açıklar ve saldırganların rastgele Google Cloud kuruluşları üzerinde tam yönetici denetimi elde etmesini sağlayabilecek karmaşık hizmetler arası mantık hataları da dahil olmak üzere Root-in-Cloud açıkları için 250.000 dolar kazanabilecek.

Google Cloud Bilgi Güvenliği Direktörü Chris Betz, ödüle hak kazanmak için bildirimin, önceden erişim veya özel proje kurulumu olmadan, rastgele Google Cloud kuruluşları ya da projeleri üzerinde “roles/owner” rolüne eşdeğer denetimi veya tam IAM denetimini göstermesi gerektiğini söyledi. Google’ın Borg olarak bilinen üretim altyapısında uzaktan kod yürütmeyi (RCE) gösteren ya da root-in-prod elde eden bildirimler de Root-in-Cloud uygunluğu açısından değerlendirilecek.

İstismarlar, kurban projesine önceden erişime, ele geçirilmiş kimlik bilgilerine, sosyal mühendisliğe veya kullanıcı etkileşimine dayanmamalı. Google’ın üretim altyapısında çalıştırma elde eden araştırmacılar yoklamayı durdurmalı. Yetki yükseltme, üretim kimlik bilgilerini edinme veya yanal hareket yasak; bunlar diskalifiye edilmeye yol açabilir.

Google, araştırmacıların gerçek müşteri projelerini test etmemesi gerektiğini belirtiyor. Bunun yerine, araştırmacıların yetkisiz erişimi kriptografik olarak kanıtlamasına olanak tanıyan, belirlenmiş bir hizmet hesabını kullanan deterministik bir kök erişim kanıtı mekanizması oluşturdu. Uç nokta özellikleri, JSON yükleri ve CLI örneklerini içeren daha fazla ayrıntı programın kural sayfasında bulunuyor.

Bu değişiklik, Google’ın yapay zekâ tarafından oluşturulan bildirimlerdeki artışın ardından Ekim ayında Open Source Software Vulnerability Rewards Program’a (OSS VRP) yapılan başvuruları askıya almasının ardından geldi. Google, ilk Vulnerability Reward Program’ını 2010’da başlattığından bu yana binlerce güvenlik araştırmacısına 81,6 milyon dolardan fazla ödediğini söylüyor. 2025’te 700’den fazla araştırmacıya rekor düzeyde 17,1 milyon dolar ödedi; bu, 12 milyon dolar ödediği 2024’e göre %40 daha fazlaydı.