Google Cloud漏洞奖励计划新增25万美元云端root层级

Google Cloud安全负责人Chris Betz表示，Google Cloud漏洞奖励计划（VRP）新增25万美元的Root-in-Cloud奖励层级，用于认可高影响力的架构级安全研究。据Google Cloud称，该层级要求研究者证明在无预先访问、无特殊项目配置的情况下，获得对任意Google Cloud组织或项目的完全管理控制权，等同于roles/owner或完整IAM控制；利用路径不得依赖既有访问权限、泄露或窃取的凭据、用户交互或社会工程。Google Cloud称，在底层生产基础设施Borg中实现远程代码执行或取得生产环境root的漏洞报告，将自动由VRP评审小组评估是否符合该层级资格；研究者一旦在Borg中取得执行权限须立即停止探测，禁止提权、提取生产凭据和横向移动，违者将被取消资格。