Chrome | Vulnerability Reward Program

Chrome | Vulnerability Reward Program

El programa se lanzó en enero de 2010 para recompensar a los investigadores de seguridad que invierten su tiempo y esfuerzo en ayudarnos a hacer Chrome y Chrome OS más seguros. A través de este programa proporcionamos premios económicos y hacemos públicas las vulnerabilidades divulgadas de forma responsable.

Alcance del Programa

Se puede considerar para recompensa cualquier error de seguridad en Chrome o Chrome OS. Dos aspectos a tener en cuenta:

• Estamos interesados en errores que se producen en nuestros canales Stable, Beta y Dev. Desaconsejamos la búsqueda de vulnerabilidades en canary o trunk builds, ya que no se someten a pruebas de lanzamiento y pueden exponer regresiones de corta duración que normalmente se identifican y corrigen muy rápidamente.
• También nos interesan los errores en componentes de terceros que enviamos o utilizamos (por ejemplo, PDFium, Adobe Flash, kernel de Linux). Los errores pueden ser elegibles incluso si forman parte del sistema operativo base y pueden manifestarse a través de Chrome.

Todos los errores deben ser reportados a través de este formulario. El envío es a través de HTTPS y no requiere cifrado adicional. Los errores que se encuentran en los servicios del lado del servidor de Google deben notificarse en el programa VPR (Google Vulnerability Reward Program).

Vulnerabilidades que califican para una recompensa:

En general, recompensaremos vulnerabilidades de gravedad crítica, alta y moderada pero cualquier vulnerabilidad inusualmente inteligente podría obtener una recompensa.

Recompensas por vulnerabilidades de seguridad

Las recompensas por errores de seguridad que califican suelen oscilar entre $500 y $150,000

Tenemos una recompensa de $150.000 para participantes que pueden comprometer un Chromebook o Chromebox con la persistencia del dispositivo en modo invitado.

Las recompensas se aplican a Chrome en Win 7+, macOS10 v10.10+, Linux, Android 4.4+, iOS 7+ y a las versiones actuales de Chrome OS.

Google ofrece la opción de donar tu recompensa a una organización benéfica. En ese caso, duplicará su donación (sujeto a su discreción). Cualquier recompensa que no se reclame después de 12 meses será donada a una organización benéfica de su elección.

La siguiente tabla muestra las recompensas habituales elegidas para los errores más comunes:

	Informe de alta calidad con exploit funcional	Informe de alta calidad	Base
Sandbox escape / Memory corruption in a non-sandboxed process	$30,000	$20,000	$5,000 - $15,000
Universal Cross Site Scripting	$20,000	$15,000	$2,000 - $10,000
Renderer RCE / memory corruption in a sandboxed process	$10,000	$7,500	$2,000 - $5,000
Security UI Spoofing	$7,500	N/A [1]	$500 - $3,000
User information disclosure	$5,000 - $20,000	N/A [1]	$500 - $2,000
Web Platform Privilege Escalation	$5,000	$3,000	$500 - $1,000
Exploitation Mitigation Bypass	$5,000	$3,000	$500 - $1,000
Chrome OS	Ver más abajo
Chrome Fuzzer Bonus	$10,000
Chrome Patch Bonus	$500 - $2,000

[1] Para esta categoría de errores se requiere que los informes de alta calidad prueben la suplantación de la interfaz de usuario o verifiquen cómo se podría revelar información del usuario, que tratamos como un exploit funcional.

Recompensas adicionales de Chrome

Patches

Ofrecemos una recompensa desde $500 o $2,000 si se proporciona un parche bien escrito con el informe. La cuantía de esta recompensa es determinada por el panel en función de la calidad y el esfuerzo necesario para escribir un buen parche para el bug. También se pueden enviar parches significativos en el marco de nuestro Patch Reward Program.

Recompensas especiales de Site Isolation

Site Isolation permite que los sitios (ejm. la combinación de esquema y eTLD+1) se ejecuten en procesos de renderizado dedicados. Esto puede mitigar los ataques speculative side channel, así como los ataques de procesos de renderizado comprometidos. Site Isolation está habilitado para todos los sitios en plataformas de escritorio. En Android, Site Isolation está habilitado para sitios donde los usuarios escriben contraseñas, pero aún no mitiga los renderizados comprometidos.

Ejemplos de Site Isolation dentro del alcance:

• Unexpected process sharing: 863069.
• Cross-Origin Read Blocking (CORB) bypass: 927849
• Disclosing IndexedDB data to a cross-site renderer process: 917668

Duración: los errores reportados a través de este formulario después del 11 de julio de 2018 serán considerados para la recompensa especial de Site Isolation. Este programa será revisado periódicamente y podrá ser modificado o finalizar en cualquier momento.

	Informe de alta calidad con prueba de concepto/exploit	Base
Recompensa especial de Site Isolation	$10,000 - $20,000	$2,000 - $10,000

Chrome OS

Ofrecemos una recompensa de $150,000 para investigadores que puedan comprometer un Chromebook o Chromebox con la persistencia del dispositivo en modo invitado. Los informes de Chrome OS deben estar dirigidos al hardware oficial de Chrome OS que se ejecuta en modo verificado.

Además de los bugs de Chrome reconocidas por el programa, nos interesan los informes que demuestran vulnerabilidades en el hardware, firmware y componentes del sistema operativo de Chrome OS.

Sandbox escapes

Los componentes adicionales pertenecen al ámbito de los informes de sandbox escapes en Chrome OS. Estos incluyen:

• Escapar Android container para comprometer el navegador o la plataforma de Chrome OS.
• Escapar el servicio sandbox de la plataforma Chrome OS para obtener privilegios de root.
• Escapar el entorno Linux en Chromebooks (también conocido como Crostini) para comprometer los componentes de la plataforma Chrome OS.
• Obtención de ejecución de código en el contexto del kernel.

Firmware

También nos interesan los informes que demuestran vulnerabilidades en el firmware, en particular el firmware del procesador principal, el firmware del controlador integrado y el firmware H1, que tiene un impacto crítico en la funcionalidad de seguridad. Los informes de firmware periférico como módulos WiFi y Bluetooth se recompensan según su impacto en la seguridad del sistema operativo.

	Informe de alta calidad con prueba de concepto/exploit	Informe de alta calidad	Base
Sandbox escape and Firmware	$30,000	$20,000	$5,000 - $15,000
Lockscreen bypass	$5,000 - $15,000
Chrome OS Persistence	$5,000 - $15,000

Chrome Fuzzer Program

Este programa le permite ejecutar fuzzers en el hardware de Google en miles de cores. Usted recibe el 100% del valor de la recompensa por cualquier error encontrado por su fuzzer más un bono de $1,000 siempre que el mismo bug no sea encontrado por uno de nuestros fuzzers en 48 horas.

Hay dos maneras de participar. A través de:

• LibFuzzer: permite realizar fuzz testing de componentes individuales en el navegador Chrome.
• ClusterFuzz: los fuzzers también se pueden escribir para usar directamente ClusterFuzz.

Para enviar un fuzzer, por favor proporcione algunos detalles a través de esta plantilla

Fuente: https://www.google.com/about/appsecurity/chrome-rewards/index.html