Android Security Rewards（ASR）項目是Google于2015年啟動，主要對那些向公司提交Android安全漏洞的安全專家提供獎勵。該項目要求專家在運行最新Android版的Pixel手機和平板上進行測試，然后根據(jù)漏洞的危險程度來提供不同的獎金。
在2017年6月份，項目得到了安全專家和白客的大力支持，Google表示：“每個Android版本包含更多的安全保護，但是已經(jīng)有兩年沒有專家獲得漏洞鏈這個頂級大獎了。”不過在上周五，公司終于宣布來自奇虎360技術(shù)公司的Guang Gong贏得了這個大獎，獎金共計達到11.25萬美元（約合72萬人民幣）。
獲獎主要是因為360在去年8月份向Google提交了CVE-2017-5116漏洞和CVE-2017-14904漏洞，前者允許通過精心制作的HTML在沙盒中執(zhí)行任意遠(yuǎn)程代碼；后者則允許從沙盒中逃脫。
如果將這兩個漏洞組合使用，能夠允許在Pixel的system_server進程中遠(yuǎn)程注入任意代碼。而且更糟糕的是，攻擊者只需要用戶在Chrome中點擊精心制作的惡意URL就能發(fā)起攻擊。
根據(jù)Google方面表示，Gong將會從ASR項目中獲得10.5萬美元獎金，這也是該項目頒布的最高獎金。此外的7500美元來自于Chrome Rewards項目，該項目于2010年啟動，主要獎勵那些向公司提交Chrome和Chrome OS安全漏洞的專家。
更多信息訪問：https://security.googleblog.com/2018/01/android-security-ecosystem-investments.html
京公網(wǎng)安備 11010502049343號