گوگل برنامه جدیدی به نام KVMCTF راه‌اندازی کرده است که یک برنامه پاداش آسیب‌پذیری (VRP) است و اولین بار در اکتبر ۲۰۲۳ اعلام شد. هدف این برنامه بهبود امنیت هایپروایزر KVM است و برای اکسپلویت‌های escape از ماشین مجازی (VM) پاداش‌هایی تا سقف ۲۵۰،۰۰۰ دلار در نظر گرفته شده است.
KVM مخفف Kernel-based Virtual Machine، KVM، که یک hypervisor متن‌باز با بیش از ۱۷ سال توسعه است، یک بخش حیاتی در محیط‌های مصرف‌کننده و سازمانی است و بسترهای Android و Google Cloud را پشتیبانی می‌کند.
گوگل، به عنوان یک مشارکت‌کننده فعال و کلیدی در توسعه KVM، برنامه KVMCTF را به عنوان یک پلتفرم همکاری برای کمک به شناسایی و رفع آسیب‌پذیری‌ها توسعه داده است تا این لایه حیاتی امنیتی تقویت شود.
برنامه پاداش آسیب‌پذیری KVMCTF ، مشابه برنامه kernelCTF گوگل که به دنبال نقص‌های امنیتی در هسته لینوکس است، بر روی باگ‌هایی که در هایپروایزر KVM و قابل دسترسی از ماشین مجازی هستند، تمرکز دارد.
هدف برنامه این است که حملات موفقیت‌آمیز از میهمان به میزبان (guest-to-host) انجام شود و آسیب‌پذیری‌های مرتبط با QEMU یا از میزبان به KVM (host-to-KVM) شامل پاداش نخواهند شد.
پژوهشگران امنیتی که در این برنامه ثبت‌نام می‌کنند، به یک محیط آزمایشگاهی کنترل‌شده دسترسی خواهند داشت که می‌توانند از اکسپلویت‌ها برای به دست آوردن “پرچم‌ها” (flags) استفاده کنند. با این حال، برخلاف برنامه‌های دیگر پاداش آسیب‌پذیری، KVMCTF بر روی آسیب‌پذیری‌های روز صفرZeroDay تمرکز دارد و برای اکسپلویت‌هایی که هدفشان آسیب‌پذیری‌های شناخته شده است، پاداشی نمی‌دهد.
سطوح پاداش برای برنامه KVMCTF به شرح زیر هستند:
- Full VM escape: $250,000
- Arbitrary memory write: $100,000
- Arbitrary memory read: $50,000
- Relative memory write: $50,000
- Denial of service: $20,000
- Relative memory read: $10,000
زیرساخت برنامه KVMCTF در محیط Bare Metal Solution (BMS) گوگل میزبانی می‌شود که نشان‌دهنده تعهد این برنامه به استانداردهای امنیتی بالا است.
شرکت‌کنندگان قادر خواهند بود نوبت‌های زمانی را رزرو کنند تا به ماشین مجازی میهمان دسترسی پیدا کرده و تلاش کنند تا حمله از ماشین guest به ماشین host را انجام دهند. هدف از حمله باید بهره‌برداری از یک آسیب‌پذیری روز صفر (ZeroDay) در زیرسیستم KVM هسته میزبان باشد.
در صورت موفقیت، مهاجم Falg یا پرچمی دریافت می کند که موفقیت آنها را در سوء استفاده از آسیب پذیری اثبات می کند. شدت حمله مقدار پاداش را تعیین می کند. تمام گزارش‌ها به صورت جزئی به ازای هر مورد ارزیابی دقیقی خواهند شد.
گوگل جزئیات آسیب‌پذیری‌های روز صفر کشف‌شده را فقط پس از انتشار پچ‌های اصلاحی از منابع اصلی دریافت می‌کند، تا اطمینان حاصل شود که اطلاعات به‌طور همزمان با جامعه منبع باز به اشتراک گذاشته می‌شود.
برای شروع، شرکت‌کنندگان باید قوانین برنامه kvmCTF را مرور کنند، که شامل اطلاعاتی درباره رزرو نوبت‌های زمانی، اتصال به ماشین مجازی میهمان، به دست آوردن پرچم‌ها، نقشه‌برداری نقض‌های مختلف KASAN به سطوح پاداش، و همچنین دستورالعمل‌های دقیق درباره گزارش آسیب‌پذیری‌ها را شامل می‌شود.
