Google presenta calificaciones de calidad para divulgaciones de vulnerabilidades

Google y Android ahora evaluarán los informes de divulgación de vulnerabilidades de dispositivos en función de la información proporcionada por los cazadores de errores para alentar presentaciones más amplias.

Según Google Security, los informes de vulnerabilidad enviados a Android y al Programa de recompensas por vulnerabilidad de Google (VRP) se clasifican como de alta, media o baja calidad según estos elementos:

• La precisión y el detalle de la descripción de la vulnerabilidad.
• Análisis de raíz de la causa
• Prueba conceptual
• reproducibilidad
• Prueba de accesibilidad

Google y Android también aumentaron el precio máximo de recompensa por errores a $ 15,000.

«Además, a partir del 15 de marzo de 2023, Android ya no asignará vulnerabilidades y exposiciones comunes (CVE) a la mayoría de los problemas de gravedad media. Publicación del blog de seguridad de Google Anuncio de los cambios de VRP dijo. «Los CVE continuarán siendo mapeados a vulnerabilidades críticas y de alta gravedad».

El fundador y director de tecnología (CTO) de Bugcrowd, Casey Ellis, elogia los esfuerzos de Google para definir los elementos de la divulgación de vulnerabilidades de calidad.

“Sin una comunicación efectiva, no pasa nada. … El poder del crowdsourcing trae consigo la variabilidad en la forma en que los reporteros de vulnerabilidades se comunican y la efectividad posterior del informe para comunicar el riesgo a quienes necesitan solucionarlo», respondió Ellis a Dark Reading the new VRPs -Rules. «El compromiso de Google de educar a la comunidad de piratas informáticos sobre las cosas que hacen que la comunicación sea más efectiva es una gran victoria tanto para el espacio como para la comunidad misma».

Solo en 2022 VRP de Google pagó un récord de $ 12 millones en recompensas por errores.