Sommario
Google ha recentemente annunciato il lancio di kvmCTF, un programma di ricompense per le vulnerabilità (VRP) mirato a identificare e risolvere le vulnerabilità del Kernel-based Virtual Machine (KVM) hypervisor. Questo nuovo programma è stato creato per rafforzare la sicurezza dei progetti open-source fondamentali come Linux e KVM, che sono alla base di molti prodotti di Google, tra cui Android e Google Cloud. Con kvmCTF, Google offre un ambiente di laboratorio in cui i partecipanti possono utilizzare i loro exploit per ottenere ricompense significative, contribuendo al contempo alla sicurezza dell’intero ecosistema.
Dettagli del Programma kvmCTF
Il kvmCTF è progettato per identificare vulnerabilità zero day nel KVM hypervisor. A differenza di altri programmi di ricompense, kvmCTF non premia gli exploit che utilizzano vulnerabilità già conosciute (n-days). Le vulnerabilità identificate devono essere riportate a Google solo dopo il rilascio di una patch a monte, garantendo così che Google riceva le informazioni contemporaneamente al resto della comunità open-source.
Come funziona
L’ambiente di test consiste in un host bare metal che esegue una singola VM guest. I partecipanti possono prenotare slot temporali per accedere alla VM guest e tentare di eseguire un attacco guest-to-host. L’obiettivo è sfruttare una vulnerabilità zero day nel sottosistema KVM del kernel dell’host. Gli attacchi riusciti vengono ricompensati in base alla gravità, secondo un sistema di livelli di ricompensa.
| Livello di Ricompensa | Importo ($) |
|---|---|
| Full VM escape | 250,000 |
| Arbitrary memory write | 100,000 |
| Arbitrary memory read | 50,000 |
| Relative memory write | 50,000 |
| Denial of Service | 20,000 |
| Relative memory read | 10,000 |
I partecipanti possono scegliere se eseguire l’host con CONFIG_KASAN abilitato, che facilita la rilevazione delle violazioni di memoria relative.
Come partecipare
Per iniziare, i partecipanti devono leggere le regole del programma che forniscono informazioni su come prenotare uno slot, connettersi alla VM guest e ottenere le flag. Le istruzioni dettagliate includono la mappatura delle varie violazioni di KASAN con i livelli di ricompensa e le modalità per segnalare una vulnerabilità e inviare la propria submission.
Il lancio di kvmCTF rappresenta un ulteriore passo avanti nell’impegno di Google per migliorare la sicurezza delle tecnologie open-source. Offrendo ricompense significative per la scoperta di vulnerabilità zero day nel KVM hypervisor, Google spera di incentivare la partecipazione della comunità di ricercatori di sicurezza e di rafforzare ulteriormente la sicurezza dei propri prodotti e servizi. Partecipare a kvmCTF non solo offre la possibilità di guadagnare premi in denaro, ma anche di contribuire a un ecosistema tecnologico più sicuro e resiliente.
