Уроки из 42 отправленных эксплойтов ядра Linux от kCTF VRP

В 2020 году мы интегрировали kCTF в Программу вознаграждения за уязвимости Google (VRP) , чтобы поддержать исследователей, оценивающих безопасность Google Kubernetes Engine (GKE) и базового ядра Linux. Поскольку ядро ​​Linux является ключевым компонентом не только для Google, но и для Интернета, мы начали активно инвестировать в эту область. Мы расширили объем VRP и максимальное вознаграждение в 2021 году (до 50 000 долларов США), затем еще раз в феврале 2022 года (до 91 000 долларов США) и, наконец, в августе 2022 года (до 133 000 долларов США). В 2022 году мы также обобщили наши знания на сегодняшний день в нашей кулинарной книге и представили наши экспериментальные меры по смягчению последствий для наиболее распространенных методов эксплуатации.


В этом посте мы хотели бы поделиться нашими знаниями и статистикой о последних отправленных эксплойтах ядра Linux, насколько эффективны наши меры по их устранению, что мы делаем для защиты наших пользователей и, наконец, как мы меняем нашу программу, чтобы привести ее в соответствие. поощрения в областях, которые нас больше всего интересуют.

https://security.googleblog.com/2023/06/learnings-from-kctf-vrps-42-linux.html