Die neue Stufe im Cloud-Prämienprogramm belohnt die vollständige Übernahme beliebiger Google-Cloud-Organisationen ohne vorherigen Zugang.
Bug Bounty
Google zahlt bis zu 250.000 Dollar für Root-in-Cloud
Google hat sein Prämienprogramm für Sicherheitslücken in Google Cloud (Cloud VRP) um eine neue höchste Stufe erweitert. Für den Nachweis einer sogenannten Root-in-Cloud-Lücke zahlt das Unternehmen bis zu 250.000 US-Dollar. Angekündigt hat Google die Stufe auf seiner jährlichen Sicherheitskonferenz Escal8 in Singapur.
Übernahme ohne vorherigen Zugang
Um die Prämie zu erhalten, müssen Forscher die vollständige administrative Kontrolle über beliebige Google-Cloud-Organisationen oder -Projekte nachweisen, vergleichbar mit der Rolle „roles/owner” oder vollständiger Kontrolle über die Zugriffsverwaltung (IAM). Der Angriffsweg darf weder auf bestehendem Zugang, einer besonderen Projekteinrichtung, geleakten oder per Phishing erbeuteten Zugangsdaten noch auf Nutzerinteraktion oder Social Engineering beruhen. Meldungen, die eine Codeausführung in Googles interner Produktionsinfrastruktur Borg nachweisen, werden automatisch für die neue Stufe geprüft.
„Mit der neuen Root-in-Cloud-Stufe wollen wir die Community herausfordern und zunehmend die komplexen, folgenreichen Funde belohnen, etwa Umgehungen der Mandantentrennung und dienstübergreifende Logikfehler, die tiefes architektonisches Gespür in Kombination mit agentischen Werkzeugen erfordern.”
Mehr Meldungen, gleich viele gültige
Michael Cote, Leiter des Cloud VRP, berichtet, dass die Zahl gültiger Meldungen in den vergangenen 18 Monaten gleich geblieben sei, während die Gesamtzahl der Einreichungen stark gestiegen ist. Zudem dränge der Wettbewerbsdruck manche Forscher und sogar Sicherheitsunternehmen dazu, noch nicht behobene Schwachstellen übereilt und unkoordiniert zu veröffentlichen.
Im Jahr 2025, dem ersten vollständigen Jahr des Programms, zahlte Google über das Cloud VRP insgesamt rund 3,57 Millionen Dollar an 143 Forscher für 1.774 Meldungen. Über alle Prämienprogramme hinweg schüttete Google 2025 mehr als 17,1 Millionen Dollar an 747 Forscher aus.
Google hatte zuletzt mehrfach an seinen Prämienprogrammen gearbeitet. Anfang Oktober setzte das Unternehmen die Annahme neuer Meldungen in seinem Programm für Open-Source-Software wegen einer Flut ungültiger, automatisiert erstellter Meldungen vorübergehend aus. Mitte Oktober erhöhte es die nach einer Kürzung im April gesenkten Prämien für Speichersicherheitslücken in Chrome wieder.
(red)
