2022 óta a Google Open Source Software Vulnerability Reward Programja (OSS VRP) kínált lehetőséget a külső kutatóknak, hogy pénzt kapjanak a cég nyílt forráskódú projektjeiben talált biztonsági hibákért, például a Flutter, az Angular, a Go vagy a Fuchsia kódjában. A X-en közzétett bejelentésben most azt közölték, hogy leállítják a program termékekre fókuszáló részét.

A változást átmenetinek nevezik, miközben az ellátási lánccal kapcsolatos bejelentéseket továbbra is fogadják, és minden, október 1. előtt beküldött jelentés érintetlen marad.

Mi zár be, mi marad?

A terméksebezhetőségek olyan hibák az egyes projektekben, mint például egy hibás HTML-szűrő, fájlformátum-parserek memóriakezelési problémái vagy a dokumentációban szereplő, nem biztonságos kódpéldák.

A frissített szabályok nem korlátozzák a változást egy adott projektkategóriára: egyszerűen nem fogadnak többé ilyen jellegű bejelentéseket.

Az ellátási lánccal kapcsolatos jelentések ezzel szemben azt vizsgálják, hogyan épül és hogyan kerül kiadásra a szoftver. A szabályok oldala példaként említi a build-artifaktumok publikálására használt, kiszivárgott csomagkezelő-hitelesítő adatokat. Ez a terület nem érintett a mostani változásban.

Néhány Google Cloud tároló esetében kivételt tesznek. Ha ott egy hiba érint egy Cloud terméket, a Google továbbra is elfogadhatja a jelentést, de a Cloud VRP programon keresztül.

Miért jutottak idáig?

Márciusban a Google mérnökei a Bug Hunters blogon arról írtak, hogy az AI által generált jelentések elárasztják a programot. Egy részük kitalált információkat tartalmazott, mások pedig olyan valódi kódolási hibákat jeleztek, amelyeknek alig vagy egyáltalán nem volt hatásuk az érintett projekt biztonsági szintjére.

A Google első reakciója az volt, hogy megemelte a lécet a memóriakorrupciós hibák bejelentésénél a két legfelső projektkategóriában. A kutatóknak vagy egy meglévő OSS-Fuzz fuzz-célponton keresztül kellett reprodukálniuk a hibát, vagy egy olyan javítócsomagra kellett hivatkozniuk, amelyet a karbantartók már beolvasztottak.

A következő hónapban ugyanennek a bejegyzésnek a frissítése még tovább ment. A standard és alacsony prioritású kategóriák, az OT2 és az OT3, már nem kínálnak jutalmat vagy elismerést a terméksebezhetőségekért és más biztonsági problémákért. Az OT2 projektekre adható legmagasabb ellátásilánc-jutalom összege is 3 133,70 dollárra csökkent.

Az ellátásilánc-jelentések továbbra is pénzt érnek: OT2 projektek esetén 500 dollártól indulnak, a zászlóshajó projektek esetén pedig akár 31 337 dollárig is felmehetnek.

Alternatívaként a Google a Patch Rewards Programot ajánlja, amely 100 és 15 000 dollár közötti összeget fizet. Itt viszont csak azokra a javítócsomagokra jár jutalom, amelyek legalább egy hónapja a projektben vannak, és ezalatt nem vonták vissza őket.

Nyitott kérdés

A Google nem közölte, mikor és milyen formában térnek vissza a terméksebezhetőségekről szóló jelentések. A bejelentés csak annyit ígér, hogy 2027 első negyedévében adnak frissítést, miközben tovább dolgoznak a program ezen részének átalakításán.

Maradt egy elvarratlan szál is. A cikk írásakor az OSS VRP oldal még mindig feltünteti a terméksebezhetőségekre adható jutalmak tartományát, egészen 7500 dollárig. Ahogy korábban láttuk, a szabályzatoldalt már frissítették, így várhatóan hamarosan ezt is módosítják.