Google beloont tipgevers lekken vorstelijk

In totaal 47.500 aan beloningen en bonussen

In totaal betaalt Google dit keer als dank 47.500 dollar aan de onderzoekers die de veiligheidsproblemen bij het bedrijf hebben gemeld. Drie onderzoekers krijgen bovenop de reguliere beloning elk een bonus van 10.000 dollar vanwege hun "aanhoudende, buitengewone" bijdragen aan het meldpunt van Google voor programmeerfouten.

In een blog meldt Jason Kersey van het Chrome-ontwikkelteam dat de bonussen zijn verdiend door Arthur Gerkis, Aki Helin en een aanbrenger met de schuilnaam miaubi. Alle drie sleepten al eerder beloningen van Google in de wacht.

Daarnaast is in totaal 17.500 dollar - variërend van 500 tot 2000 dollar - uitgetrokken als beloning voor het melden van de 14 afzonderlijke beveiligingslekken. Gerkis meldde ditmaal 4 lekken, Helin 1 en miaubiz 8.

Meeste fouten schuilen in geheugenbeheer

Het overgrote deel van de 14 kwetsbaarheden is te wijten aan fouten in het geheugenbeheer die met de term 'use after free' worden aangeduid. Google heeft een speciale tool ontwikkeld (Address Sanitizer) om dergelijke fouten op te sporen. Ook externe aangevers van nieuwe bugs kunnen deze tool gebruiken.

Meer bijzonderheden over de nu gedichte lekken staan op de securitypagina voor Chromium. Google geeft niet in alle gevallen details "totdat de meerderheid van onze gebruikers beschikt over de updates", aldus Kersey in zijn blog.

Hackerwedstrijd op conferentie CanSecWest

Vandaag begint in Vancouver (Canada) de jaarlijkse conferentie CanSecWest, waar hackers de strijd aangaan om zo snel mogelijk kwetsbaarheden in software op te sporen. Google heeft een prijzengeld van maximaal 1 miljoen dollar beschikbaar gesteld voor het ontdekken van nog onbekende fouten in Chrome.

Voor het met succes kraken van Chrome op Windows 7 is bijvoorbeeld een prijs van 60.000 dollar uitgeloofd, mits de zwakke plekken uitsluitend in Chrome zitten. Wie een combinatie van fouten in en buiten Chrome benut om de browser op de knieën te krijgen, ontvangt 40.000 dollar. Een troostprijs van 20.000 dollar is weggelegd voor degene die Chrome succesvol aanvalt via lekken die geheel buiten de browser zelf liggen.