Google, bulut altyapısında saldırganlara geniş kapsamlı yönetici yetkileri kazandırabilecek kritik güvenlik açıklarını bildiren araştırmacılar için 250 bin dolarlık yeni ödül duyurdu. Cloud Vulnerability Reward Program (VRP) kapsamına eklenen Root-in-Cloud kategorisi, herhangi ön erişim gerektirmeden Google Cloud kuruluşları veya projeleri üzerinde tam yönetici kontrolü sağlayan açıkları hedefliyor. Şirket, araştırmacıların gerçek müşteri ortamlarını riske atmadan bulgularını kanıtlayabilmesi için özel doğrulama mekanizması geliştirdi.
Google Cloud Açıkları İçin 250 Bin Dolarlık Ödülün Koşulları AçıklandıGoogle Cloud Güvenlik Direktörü (CISO) Chris Betz, en yüksek ödülün bulut altyapısının temel güvenlik sınırlarını aşan kritik açıklar için verileceğini belirtti. Root-in-Cloud kategorisi, farklı müşterilerin kaynaklarını birbirinden ayıran tenant isolation mekanizmasının aşılması veya birden fazla bulut hizmeti arasındaki karmaşık mantık hatalarının istismar edilmesi gibi senaryoları kapsıyor.
Araştırmacıların ödüle hak kazanabilmesi için herhangi Google Cloud kuruluşu ya projesi üzerinde tam yönetici kontrolü elde edebildiğini göstermesi gerekiyor. Google, seviyeyi roles/owner rolüne eşdeğer yetki veya eksiksiz IAM kontrolü olarak tanımlıyor. Başvurunun kabul edilmesi için araştırmacının hedef projeye önceden erişiminin bulunmaması, özel proje yapılandırmasına ihtiyaç duymaması ayrıcalıklı erişim gerektirmeyen güvenlik açığını kanıtlaması şart koşuluyor.
Şirket, kurumsal bulut ortamlarında erişim sınırlarını aşabilen güvenlik hatalarını öncelikli riskler arasında değerlendiriyor. saldırganın farklı müşterilere ait kaynaklar üzerinde yönetici kontrolü elde etmesi, yalnızca tek uygulamayı değil, daha geniş bulut ortamını etkileyebilecek sonuçlar doğurabiliyor.
Google, üretim altyapısında uzaktan kod çalıştırma (RCE) elde edildiğini veya üretim sistemlerinde root seviyesinde yetkiye ulaşıldığını gösteren geçerli raporların Root-in-Cloud ödülü açısından değerlendirmeye alınacağını açıkladı. Şirketin üretim altyapısında kullanılan Borg sistemi üzerinde kod çalıştırma sağlayan açıklar kapsamda incelenebiliyor.
Araştırmacıların güvenlik sınırlarını doğrularken gerçek müşteri projelerinde test yapmasını engellemek isteyen Google, özel kanıtlama yöntemi hazırladı. Belirlenmiş hizmet hesabını kullanan mekanizma, araştırmacıların yetkisiz erişimi kriptografik olarak kanıtlamasına olanak tanıyor.
Google Cloud VRP Lideri Michael Cote, yüksek ödüllerin açık güvenli test kurallarıyla birlikte uygulanması gerektiğini vurguladı. Şirket, araştırmacıların üretim altyapısında kod çalıştırmayı başardıkları durumlarda daha ileri testleri durdurmasını istiyor. Üretim kimlik bilgilerini ele geçirmeye, başka sistemlere yatay hareketle ilerlemeye veya erişimi daha fazla genişletmeye yönelik işlemler programdan diskalifiye edilmeye yol açabiliyor.
Araştırmacılar, başvuru hazırlarken Google Cloud VRP kurallarındaki uç nokta tanımlarını, JSON veri örneklerini komut satırı aracı kullanım yönergelerini inceleyebiliyor. kurallar, güvenlik açığının kanıtlanması sırasında müşteri verilerinin üretim sistemlerinin korunmasını amaçlıyor.
Yeni ödül kategorisi, Google’ın güvenlik araştırmalarını teşvik etme yaklaşımındaki güncellemelerden biri olarak öne çıkıyor. Şirket, Ekim ayında yapay zekâ tarafından üretilen çok sayıda başvuru nedeniyle Açık Yazılım Güvenlik Açığı Ödül Programı’na (OSS VRP) yeni rapor kabulünü geçici olarak durdurmuştu. karar, otomatik araçlarla üretilen bildirimlerin güvenlik ekipleri üzerindeki iş yükünü artırmasıyla ilişkilendirildi.
Google, ilk güvenlik açığı ödül programını 2010 yılında başlattığından yana dünya genelindeki araştırmacılara toplam 81,6 milyon doların üzerinde ödeme yaptı. Şirketin açıkladığı verilere göre 2025 yılında 700’den fazla güvenlik araştırmacısına toplam 17,1 milyon dolar ödül verildi. tutar, 2024 yılında ödenen 12 milyon dolara kıyasla yaklaşık yüzde 40 artış anlamına geliyor.
Root-in-Cloud kategorisiyle Google, genel yazılım hatalarından ziyade bulut altyapısının güvenlik sınırlarını aşan geniş kapsamlı yönetici erişimi sağlayan açıkları ödüllendirmeyi amaçlıyor. Araştırmacılar için belirlenen 250 bin dolarlık üst sınır, Google Cloud ortamlarında en yüksek etkiye sahip güvenlik sorunlarının sorumlu biçimde bildirilmesini teşvik ediyor.
