Google Pauses OSS Product Bug Bounty Rewards After Surge in Invalid Automated Reports

La em­pre­sa Goo­gle ha de­ci­di­do sus­pen­der de forma tem­po­ral la acep­ta­ción de re­por­tes de vul­ne­ra­bi­li­da­des de pro­duc­tos en su pro­gra­ma de re­com­pen­sas por erro­res para soft­wa­re de có­di­go abier­to. Esta me­di­da afec­ta a las pro­pues­tas re­la­cio­na­das con fa­llas en el có­di­go de pro­yec­tos es­pe­cí­fi­cos, aun­que se si­guen re­ci­bien­do avi­sos sobre vul­ne­ra­bi­li­da­des en la ca­de­na de su­mi­nis­tro y aque­llos casos en­via­dos antes de que en­tra­ra en vigor la pausa.

La com­pa­ñía ex­pli­có me­dian­te una pu­bli­ca­ción en una red so­cial que la in­te­rrup­ción se debe a un fuer­te in­cre­men­to en la can­ti­dad de en­víos au­to­ma­ti­za­dos, de los cua­les una gran ma­yo­ría no son co­rrec­tos. Como con­se­cuen­cia de esta mo­di­fi­ca­ción tem­po­ral, las re­glas ac­tua­les del pro­gra­ma mues­tran un aviso sobre la sus­pen­sión y se han re­ti­ra­do las can­ti­da­des eco­nó­mi­cas asig­na­das pre­via­men­te a las ca­te­go­rías de pro­yec­tos más sen­si­bles.

A pesar de esta res­tric­ción, los in­ves­ti­ga­do­res cuen­tan con al­ter­na­ti­vas para ca­na­li­zar sus ha­llaz­gos, las cua­les in­clu­yen di­ri­gir los re­por­tes hacia otras ini­cia­ti­vas de com­pen­sa­ción de la em­pre­sa, como el pro­gra­ma en­fo­ca­do en la nube o el de par­ches de se­gu­ri­dad, siem­pre que cum­plan con los cri­te­rios es­pe­cí­fi­cos es­ta­ble­ci­dos para cada vía. Asi­mis­mo, al­gu­nos pro­yec­tos in­di­vi­dua­les man­tie­nen sus pro­pias di­rec­tri­ces o ca­na­les de con­tac­to para la ges­tión de in­ci­den­tes de se­gu­ri­dad.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las ci­fras exac­tas de los re­por­tes au­to­ma­ti­za­dos re­ci­bi­dos ni sobre una fecha es­pe­cí­fi­ca para el res­ta­ble­ci­mien­to total de la re­cep­ción de vul­ne­ra­bi­li­da­des de pro­duc­tos den­tro de este pro­gra­ma.