У Kubernetes появилась собственная программа bug bounty

Рекомендуем почитать:

Xakep #248. Checkm8

• Содержание выпуска
• Подписка на «Хакер»

Фонд Cloud Native Computing Foundation (CNCF) объявил о запуске программы вознаграждения за уязвимости в популярнейшем оркестраторе Kubernetes, разместившейся на платформе HackerOne.

Bug bounty программа находилась в закрытой бета-версии несколько месяцев, а с момента первого анонса и вовсе прошло уже почти два года. Теперь программа наконец открывается для всех исследователей в области безопасности.

Разработчики обещают реагировать на представленные доклады об уязвимостях в течениеодного рабочего дня, сортировать уязвимости в течение 10 дней, и выплачивать вознаграждения в течение 10 дней после этого.

Размер вознаграждений варьируется от 100 до 10000 долларов США. Самые крупны выплаты ждут тех, кто сумеет обнаружить уязвимости, к примеру, затрагивающие ядро ​​Kubernetes, недостатки, которые можно использовать для внесения изменений в исходный код.

Программа распространяется на основной код Kubernetes, хранящийся на GitHub, а также на проблемы связанные с непрерывной интеграцией, релизами и артефактами в документации. В частности, разработчиков интересуют дыры в безопасности, которые могут привести к кластерным атакам (включая эскалацию привилегий, баги аутентификации и удаленное выполнение кода в kubelet’ах или API сервере).

Источник