Google adds new $250,000 Cloud VRP reward for Root-in-Cloud bugs

Goo­gle ha am­plia­do su pro­gra­ma de re­com­pen­sas por vul­ne­ra­bi­li­da­des en la nube al in­cor­po­rar un pago má­xi­mo des­ti­na­do a fa­llas de se­gu­ri­dad ar­qui­tec­tó­ni­cas que ten­gan un alto im­pac­to. A par­tir de este mes, los in­ves­ti­ga­do­res de se­gu­ri­dad tie­nen la po­si­bi­li­dad de re­ci­bir una im­por­tan­te suma eco­nó­mi­ca al des­cu­brir pro­ble­mas gra­ves, como fa­llos ló­gi­cos com­ple­jos entre ser­vi­cios o vul­ne­ra­bi­li­da­des que per­mi­ten sal­tar­se el ais­la­mien­to entre in­qui­li­nos para ob­te­ner con­trol ad­mi­nis­tra­ti­vo total sobre or­ga­ni­za­cio­nes es­pe­cí­fi­cas de Goo­gle Cloud.

Para ac­ce­der a este pago má­xi­mo, es ne­ce­sa­rio que los re­por­tes de­mues­tren un con­trol ad­mi­nis­tra­ti­vo ab­so­lu­to sin re­que­rir ac­ce­so pre­vio ni con­fi­gu­ra­cio­nes es­pe­cia­les, y los ata­ques no deben de­pen­der de cre­den­cia­les com­pro­me­ti­das, in­ge­nie­ría so­cial, in­ter­ac­ción de los usua­rios o ac­ce­so ini­cial a la víc­ti­ma. Asi­mis­mo, aque­llos in­for­mes que mues­tren eje­cu­ción re­mo­ta de có­di­go en la in­fra­es­truc­tu­ra de pro­duc­ción sub­ya­cen­te serán eva­lua­dos au­to­má­ti­ca­men­te para este be­ne­fi­cio. Los es­pe­cia­lis­tas deben de­te­ner las prue­bas si lo­gran la eje­cu­ción en dicha in­fra­es­truc­tu­ra, ya que las ac­cio­nes de mo­vi­mien­to la­te­ral o la ob­ten­ción de cre­den­cia­les de pro­duc­ción no están per­mi­ti­das y cau­san la des­ca­li­fi­ca­ción in­me­dia­ta.

Para ga­ran­ti­zar la se­gu­ri­dad y evi­tar ata­ques a pro­yec­tos reales de clien­tes, se ha es­ta­ble­ci­do un me­ca­nis­mo de­ter­mi­nis­ta de prue­ba me­dian­te una cuen­ta de ser­vi­cio de­sig­na­da, per­mi­tien­do a los in­ves­ti­ga­do­res de­mos­trar el ac­ce­so no au­to­ri­za­do de ma­ne­ra crip­to­grá­fi­ca. La in­for­ma­ción com­ple­ta sobre las re­glas, es­pe­ci­fi­ca­cio­nes de pun­tos fi­na­les, ejem­plos y car­gas úti­les se en­cuen­tra dis­po­ni­ble en la pá­gi­na co­rres­pon­dien­te del pro­gra­ma.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las es­pe­ci­fi­ca­cio­nes téc­ni­cas o nor­ma­ti­vas adi­cio­na­les del pro­gra­ma.