Uncategorized

Google "Root-in-Cloud" xatolik mukofoti dasturida 250 000 dollarlik eng yuqori mukofotni joriy etdi

Eng yuqori to‘lov to‘liq ma’muriy nazoratni ko‘rsatadigan yuqori ta’sirli arxitektura tadqiqotlari uchun mo‘ljallangan.

Muallif

Ionut Arghire

| 2026-yil 2-noyabr (ET vaqti bilan 9:25)

  • Flipboard
  • Reddit
  • Whatsapp
  • Whatsapp
  • Email

Google o‘zining Cloud Vulnerability Reward Program (VRP) dasturini kengaytirdi va to‘liq ma’muriy nazoratga olib kelishi mumkin bo‘lgan xavfsizlik zaifliklari uchun yangi 250 000 dollarlik yuqori darajali mukofotni joriy etdi.

Asosiy to‘lov "yuqori ta’sirli arxitektura tadqiqotlarini tan olish uchun maxsus mo‘ljallangan" va tadqiqotchilarga "roles/owner" huquqlarini yoki Google Cloud tashkilotlari yoki loyihalari ustidan to‘liq IAM nazoratini qo‘lga kiritishni ko‘rsatgan holda beriladi.

Internet gigantining ma’lumotiga ko‘ra, mukofotga loyiq bo‘lish uchun ekspluatatsiya yo‘li loyihaga oldindan mavjud kirish huquqiga, avval buzilgan hisob ma’lumotlariga yoki foydalanuvchi o‘zaro ta’siriga / ijtimoiy muhandislikka bog‘liq bo‘lmasligi kerak.

Borg (Google’ning asosiy ishlab chiqarish infratuzilmasi) da masofaviy kod bajarilishini (RCE) yoki root-in-production ni ko‘rsatadigan hisobotlar ham yangi 250 000 dollarlik root-in-cloud mukofoti uchun baholanadi.

"Borg’da kod bajarilishi xizmat mavjudligiga ta’sir qilishi yoki ijarachilararo ma’lumotlarga ta’sir qilishi mumkinligi sababli, tadqiqotchilar Borg’da har qanday bajarilishni erishgan zahoti barcha tekshiruvni darhol to‘xtatishlari kerak. Kengaytirish, ishlab chiqarish hisob ma’lumotlarini olish va yon tomonga harakatlanish ruxsat etilmaydi va tadqiqotchining diskvalifikatsiyasiga olib keladi," dedi Google Cloud CISO Chris Betz.

Kompaniya root-in-cloud tekshirish mezonlarini o‘zining Cloud VRP sahifasiga qo‘shdi va agar uning dastlabki kirish nuqtasi, bajarilish konteksti va hujum yuzasi tahlili to‘liq ixtiyoriy ijarachi yoki loyiha egallab olish mumkinligini ko‘rsatsa, xatolik mukofotini berishini tushuntirdi.

Reklama. O‘qishni davom ettirish uchun pastga aylantiring.

"Ijarachi izolyatsiyasini chetlab o‘tish va murakkab xizmatlararo mantiq zaifliklarini aniqlash inson ijodkorligi, sezgi va qat’iy tizimlar tahlilini agent tizimlar kuchi bilan birlashtirishni talab qiladi," deb ta’kidladi Betz.

Google Cloud’ning zaiflik mukofoti dasturi rahbari Michael Cote’ning so‘zlariga ko‘ra, o‘z sezgilarini agent vositalari bilan birlashtirgan birinchi marta tadqiqotchilar o‘rtacha hisobda, ikki yil oldin yangi boshlovchilar topganidan ko‘ra qiziqarliroq xatoliklarni topmoqda.

U shuningdek, yangi root-in-cloud darajasiga loyiq xatoliklarni topish chuqur arxitektura sezgi va sun’iy intellektni talab qilishini ta’kidladi.

"Yuqori rag‘batlantirish aniq, xavfsiz o‘zaro ta’sir qoidalarini talab qiladi. Biz tadqiqotchilarning haqiqiy mijoz loyihalariga qarshi ekspluatatsiyalarni sinab ko‘rishlarini hech qachon xohlamaymiz. Buning o‘rniga, biz belgilangan xizmat hisobi yordamida deterministik root-isbot mexanizmini yaratdik. Tadqiqotchilar ushbu identifikatorga qarshi ruxsatsiz kirishni kriptografik tarzda isbotlashlari mumkin," dedi Cote.

Bog‘liq: Google Chrome xatolik mukofoti qisqartirishlarini qisman bekor qildi

Bog‘liq: Google ochiq manbali xatolik mukofotini avtomatlashtirilgan hisobotlar to‘lqini fonida toraytirdi

Bog‘liq: Microsoft xatolik mukofoti dasturi: 500 tadqiqotchiga 20 million dollar to‘landi

Bog‘liq: Sun’iy intellekt xatolik mukofoti sanoatini o‘ldiradimi?

Yozgan: Ionut Arghire

Ionut Arghire SecurityWeek uchun xalqaro muxbir.

Kundalik axborot byulleteni

Eng so‘nggi kiberxavfsizlik tahdidlari, tendensiyalar va mutaxassis fikrlari haqida xabardor bo‘lish uchun SecurityWeek elektron pochta axborot byulleteniga obuna bo‘ling.

Biznes elektron pochta*

emailsignupsource

Qo‘shimcha ma’lumot uchun Maxfiylik siyosatimizni o‘qing.

Ionut Arghiredan ko‘proq

  • Bulletproof Host Virtualine domenini FBI musodara qildi
  • WordPress’dagi yangi zaiflik hujumchilarning nishonida
  • Alpine Linux’ga qarshi ishlatilgan maksimal jiddiylikdagi GitLab zaifligi
  • TeamViewer zaifligi zararli xostlarga texnik yordam mutaxassislarining mashinalarini egallab olishga imkon berishi mumkin
  • Adobe, Veeam, Juniper Networks muhim zaifliklarni tuzatdi
  • 41 000 dan ortiq DHS xodimlarining ma’lumotlari onlayn tarqaldi
  • HHS arizasi iRhythm ma’lumotlar buzilishini 8,2 millionga yetkazdi
  • Xitoylik xakerlar ESXi jurnal yozish zaifligidan nol kun sifatida jimgina foydalandi

Eng so‘nggi yangiliklar

  • Zararli Claude Code kengaytmasi Cursor ta’minot zanjiri hujumida tarqatildi
  • Chainalysis sun’iy intellekt asosidagi kiberhujumdan so‘ng ma’lumotlar buzilishini oshkor qildi
  • Polymarket DNS o‘g‘irlanishi deb DebugBear ayblagan holda savdogarlarga 3,9 million dollarni qaytardi
  • FBI Binance o‘g‘irligiga bog‘liq 600 dan ortiq manzilni belgiladi
  • Ivanti Connect Secure hujum zanjirida ishlatilgan yana ikkita nol kun zaifligini tuzatdi
  • Northstar Security 7 million dollar bilan yashirin rejimdan chiqdi va zaharli xavf kombinatsiyalarini fosh etish maqsadida
  • Suriyalik xaker AQShda o‘n yildan ortiq qochqinlikdan so‘ng qamoq jazosiga hukm qilindi
  • PHP2Shell hujumlari Palo Alto xavfsizlik devorlarini ildizdan o‘chiradi, lekin WordPress’ga qarshi muvaffaqiyatsiz

Trendda

PHP2Shell hujumlari Palo Alto xavfsizlik devorlarini ildizdan o‘chiradi, lekin WordPress’ga qarshi muvaffaqiyatsiz

Northstar Security 7 million dollar bilan yashirin rejimdan chiqdi va zaharli xavf kombinatsiyalarini fosh etish maqsadida

Suriyalik xaker AQShda o‘n yildan ortiq qochqinlikdan so‘ng qamoq jazosiga hukm qilindi

WordPress’dagi yangi zaiflik hujumchilarning nishonida

Parollar parollardan yaxshiroq. Lekin ular yetarli emas.

Tashkilotlar parollarni yo‘q qilgan sari, hujumchilar moslashadi. Autentifikatorga to‘g‘ridan-to‘g‘ri hujum qilish o‘rniga, ular uning atrofidagi imkoniyatlarni qidiradi. (Torsten George)

Xavf shaxsiy bo‘lganda: Xavfsizlik rahbarlari saraton tashxisidan nimani o‘rganishi mumkin

Xavf menejerlari zaif signallarni aniqlash, buzilishlarga tayyorgarlik ko‘rish va noaniqlik sharoitida qiyin qarorlar qabul qilishga o‘rgatilgan. Ammo intizom xavf tizim yoki korxona emas, balki siz bo‘lganingizda boshqacha ko‘rinadi. (Steve Durbin)

Hech kim xavfsizlik so‘rovnomasiga ishonmaydi. Shunga qaramay, biz unga tayanamiz.

Deyarli har bir B2B bitimini nazorat qiladigan jarayon — yuboruvchi ishonmaydigan va qabul qiluvchi qabul qiladigan o‘z-o‘zini baholash. Nihoyat, kompaniyalar o‘rtasida ishonch uchun yaxshiroq asos paydo bo‘ldi. (Sravish Sridhar)

Bu normal: NetScaler nol kun zaifliklari bizga yangi normal haqida nimani aytadi

Agar Citrix NetScaler tuzatishlari tez orada yana bir turkum chiqarilsa, yamoqni boshqarish quvurlarini tayyor saqlang. (Tod Beardsley)

Sun’iy intellekt dasturiy ta’minot xavfsizligi kaliti tezlik emas, balki yetuklik

Sizning ishlab chiquvchilaringiz sun’iy intellektni qabul qilish shkalasida qayerda joylashganligi xavfsizlik xavfini qanday hal qilayotganingizga haqiqiy ta’sir ko‘rsatadi. (Matias Madou)

Kundalik axborot byulleteni

Eng so‘nggi tahdidlar, tendensiyalar va texnologiyalar haqida xabardor bo‘lish, shuningdek, soha mutaxassislarining chuqur fikrli ustunlari bilan tanishish uchun SecurityWeek elektron pochta axborot byulleteniga obuna bo‘ling.

Biznes elektron pochta*

emailsignupsource

Qo‘shimcha ma’lumot uchun Maxfiylik siyosatimizni o‘qing.

Vebinar: Kuchliroq CTEM dasturi uchun agent pentesting

2026-yil 4-noyabr

Pentestlar orasidagi xavfsizlik bo‘shliqlarini yoping. Ushbu sessiyada agent pentestingni o‘rganing va CTEM dasturingizda uzluksiz ta’sirni tekshirish uchun amaliy asosga ega bo‘ling.

Ro‘yxatdan o‘ting

Virtual tadbir: CISO Forum 2026 sammiti

2026-yil 10 va 11-noyabr

CISO’lar, yuqori darajali kiberxavfsizlik rahbarlari, amaliyotchilar, soha mutaxassislari va boshqa xavfsizlik rahbarlarini amaliy tajriba almashish va korxona kiberxavfsizlik strategiyasini shakllantiradigan masalalarni ko‘rib chiqish uchun birlashtiramiz.

Ro‘yxatdan o‘ting

Harakatdagi odamlar

Barracuda Dan Fletcher’ni CFO etib tayinladi.

Artemis Security Arun Singh’ni CGO etib tayinladi.

General Paul M. Nakasone Armadin direktorlar kengashiga qo‘shildi.

Harakatdagi ko‘proq odamlar

Mutaxassis fikrlari

  • Flipboard
  • Reddit
  • Whatsapp
  • Whatsapp
  • Email

Parollar parollardan yaxshiroq. Lekin ular yetarli emas.

Tashkilotlar parollarni yo‘q qilgan sari, hujumchilar moslashadi. Autentifikatorga to‘g‘ridan-to‘g‘ri hujum qilish o‘rniga, ular uning atrofidagi imkoniyatlarni qidiradi. (Torsten George)

Xavf shaxsiy bo‘lganda: Xavfsizlik rahbarlari saraton tashxisidan nimani o‘rganishi mumkin

Xavf menejerlari zaif signallarni aniqlash, buzilishlarga tayyorgarlik ko‘rish va noaniqlik sharoitida qiyin qarorlar qabul qilishga o‘rgatilgan. Ammo intizom xavf tizim yoki korxona emas, balki siz bo‘lganingizda boshqacha ko‘rinadi. (Steve Durbin)

Hech kim xavfsizlik so‘rovnomasiga ishonmaydi. Shunga qaramay, biz unga tayanamiz.

Deyarli har bir B2B bitimini nazorat qiladigan jarayon — yuboruvchi ishonmaydigan va qabul qiluvchi qabul qiladigan o‘z-o‘zini baholash. Nihoyat, kompaniyalar o‘rtasida ishonch uchun yaxshiroq asos paydo bo‘ldi. (Sravish Sridhar)

Bu normal: NetScaler nol kun zaifliklari bizga yangi normal haqida nimani aytadi

Agar Citrix NetScaler tuzatishlari tez orada yana bir turkum chiqarilsa, yamoqni boshqarish quvurlarini tayyor saqlang. (Tod Beardsley)

Sun’iy intellekt dasturiy ta’minot xavfsizligi kaliti tezlik emas, balki yetuklik

Sizning ishlab chiquvchilaringiz sun’iy intellektni qabul qilish shkalasida qayerda joylashganligi xavfsizlik xavfini qanday hal qilayotganingizga haqiqiy ta’sir ko‘rsatadi. (Matias Madou)