Google a récemment publié son compte-rendu en ce qui concerne ses Vulnerability Reward Programs (VRP) en 2022.
Et force est d'admettre que la chasse aux bugs peut rapporter gros chez Google.
12 millions de dollars de primes pour les chasseurs de bugs
Dans un billet de blog, Google fait le bilan de l'année 2022 en ce qui concerne son programme de chasse aux bugs « Vulnerability Reward Programs ». Au total, en travaillant avec des chercheurs en sécurité tout au long de l'année écoulée, Google indique avoir pu identifier (et corriger !) plus de 2 900 failles.
Le géant américain annonce que son programme VRP ne cesse de croitre au fil des années, si bien que l'année 2022 a constitué un nouveau record. « En 2022, nous avons attribué plus de 12 millions de dollars de primes, les chercheurs ayant fait don de plus de 230 000 dollars à l'organisation caritative de leur choix », indique Google.
Le bug qui valait 605 000 dollars !
La récompense la plus élevée est à mettre au crédit d'une chaîne de cinq bugs, identifiés par l'utilisateur gzobqq, et qui lui ont permis de glaner la somme de… 605 000 dollars ! C'est ce même gzobqq qui avait identifié une autre faille critique sur Android en 2021, empochant alors une récompense de 157 000 dollars.
Au total, Google a versé pas moins de 4,8 millions de dollars de récompenses dans le cadre de son VRP pour Android. Certains utilisateurs ont ainsi remonté plusieurs dizaines de bugs au géant américain, Aman Pandey de Bugsmirror en totalisant même plus de 200.
Le programme dédié à Chrome a lui aussi connu un vif succès, avec un total de 470 bugs remontés et corrigés, pour 4 millions de dollars de récompenses cumulées. Sur ces 4 millions de dollars, 3,5 millions ont été attribués pour 363 bugs de sécurité identifiés dans le navigateur Chrome, le reste ayant été attribué pour un peu plus d'une centaine de bugs découverts au sein de ChromeOS.
En 2023, Google entend bien poursuivre le développement de son programme VRP. Ceux qui souhaitent faire partie de l'équipe des « bugs hunters » sont invités à se manifester directement à cette adresse.
Source : Bleeding Computer