澳门威斯尼斯人棋牌网址
Internet Develppment
互联网开发& 推广服务提供商

我们擅长商业策略与用户体验的完美结合。

欢迎浏览我们的案例。

首页 > 新闻中心 > 新闻动态 > 正文

谷歌推出漏洞赏金计划 专门针对开源软件

发布时间:2022-09-01 09:20:43来源:开源中国社区

  谷歌宣布推出一项新的漏洞赏金计划,专门针对开源软件。根据介绍,该开源软件漏洞赏金计划 (OSS VRP) 侧重于 Google 软件和存储库设置(如 GitHub 操作、应用程序配置和访问控制规则),适用于 Google 拥有的 GitHub 组织的公共存储库以及其他平台的一些存储库中可用的软件。

  “这项新计划的增加是为了应对日益普遍的供应链攻击的现实。去年,针对开源供应链的攻击同比增长 650%,包括 Codecov 和 Log4j 漏洞等头条新闻,显示了单个开源漏洞的破坏性潜力。Google 的 OSS VRP 是我们以 10B 美元改善网络安全承诺的一部分,包括保护供应链免受 Google 用户和全球开源消费者的此类攻击。”

  通过该计划,谷歌将向相关漏洞披露研究人员提供 100 美元到 31,337 美元的奖金不等,具体取决于所发现的漏洞的严重程度。对于特别有意思的漏洞,谷歌方面称其还可能会小幅增加大约 1,000 美元的奖金。

  Google OSS 第三方依赖项中的安全漏洞也在此赏金计划范围内,但条件是需要先将错误报告发送给易受攻击的包的所有者;因此在将发现结果通知 Google 之前,这些问题会在上游得到解决。

  通过 3rd-party 依赖项详细说明漏洞的提交应该:

  证明漏洞在我们的项目中表现出来(即你必须证明第三方漏洞可以在 Google OSS 中被触发或利用)。

  不早于上游修复问题后的 30 天后共享(例如发布补丁软件包)。

  谷歌方面透露,最高奖项将颁发给在最敏感项目中发现的漏洞:Bazel、Angular、Golang、Protocol buffers 和 Fuchsia。而在初始推出后,该公司还计划将扩展此列表。谷歌鼓励关注可能导致供应链受损的漏洞、导致产品漏洞的设计问题以及凭据泄露、弱密码或不安全安装等安全问题。

  针对那些对金钱不感兴趣的人,谷歌则将提供以其名义将奖金捐赠给知名慈善机构的选项。“如果你这样做,我们将根据我们的判断将你的捐款翻倍。12 个月后仍未领取的任何奖励将捐赠给我们选择的慈善机构。”
  (邯郸小程序开发

最新资讯
© 2018 澳门威斯尼斯人棋牌网址 版权所有 冀ICP备18021892号-1   
© 2018 河北澳门威斯尼斯人棋牌网址科技有限公司 版权所有.