Google zvýšil odmeny v Chrome VRP, únik až za 20-tisíc

Google podľa oznámenia Chrome VRP 13. októbra 2026 s okamžitou účinnosťou zvýšil základnú odmenu za chyby pamäťovej bezpečnosti v Chrome štvornásobne na 2 000 dolárov a za závažný únik zo sandboxu bez chyby pamäte zaviedol odmenu až 20-tisíc dolárov. Autori oznámenia Alex Gough a Jon Serpas označujú za cieľ zmien „reward more types of deep security research“.

Pre výskumníkov je rozhodujúce, že základná sadzba, pevná odmena a najvyššia možná odmena znamenajú rozdielne veci. Závažný únik musí byť preukázaný; samotné zaradenie chyby do kategórie nezakladá nárok na jej hornú hranicu. Nové sumy sa týkajú viacerých procesov Chrome, chýb V8 aj hlásení so strednou závažnosťou, pri ktorých sa podarí určiť opravu.

Nové odmeny podľa typu chyby a dôkazu

Rozdiel medzi pádmi a kontrolovaným zápisom v procesoch Chrome vysvetľuje rozdielne stropy odmien.

Help Net Security opisuje zvýšenie odmien v procesoch prehliadača, siete a GPU, ako aj nové sumy pre V8 a úniky zo sandboxu. Nasledujúci prehľad oddeľuje základnú sadzbu od stropu a uvádza, aký druh dopadu musí hlásenie doložiť. Ak samostatná základná sadzba oznámená nebola, nemožno ju zameniť za uvedené maximum.

Chyby pamäte v procese prehliadača, siete a GPU: základná sadzba je 2 000 dolárov. Za čítanie pamäte alebo pád možno dostať najviac 4 000 dolárov; zápis, chybu use-after-free alebo kontrolované čítanie možno oceniť najviac 10 000 dolármi. Strop 20 000 dolárov vyžaduje preukázaný kontrolovaný zápis vyvolaný webovým obsahom.
Chyby pamäte v procese vykresľovania: základná sadzba je 2 000 dolárov, oznámená suma za čítanie alebo pád je 3 000 dolárov a za zápis či use-after-free 8 000 dolárov. Rozdiel spočíva v preukázanom správaní chyby, nie iba v názve procesu, v ktorom sa prejaví.
Ďalšie izolované procesy: pri chybách pamäte prehľad uvádza 2 000 dolárov za čítanie alebo pád a 3 000 dolárov za zápis či use-after-free. Aj v tejto skupine musí dôkaz ukázať, ktorý z uvedených účinkov nastáva.
Chyby V8: logická chyba má oznámenú odmenu 4 000 dolárov, chyba sandboxu V8 pevnú odmenu 5 000 dolárov. Nejde o stupne všeobecnej sadzby za poškodenie pamäte: pri druhej kategórii je podstatný test, ktorý skutočne prekoná hranicu sandboxu V8.
Nemäťové chyby so strednou závažnosťou: pevná odmena je 2 000 dolárov, ak hlásenie obsahuje identifikovanú opravu alebo k jej identifikácii priamo vedie. Bez tejto podmienky samotné hodnotenie závažnosti na pevnú sumu nestačí.
Únik zo sandboxu bez chyby pamäte: pri vysokom dopade je horná hranica 20 000 dolárov. Samostatnú základnú sadzbu Google neuviedol. Hlásenie musí preukázať prekročenie bezpečnostnej hranice a jeho následok; pomenovanie možnej cesty k úniku nie je dôkazom uskutočneného úniku.

Dve kategórie s rovnakým stropom preto vyžadujú odlišný výsledok výskumu. Kontrolovaný zápis opisuje konkrétnu schopnosť zasiahnuť do pamäte z webového obsahu. Nová kategória sandboxu vytvára priestor aj pre závažné obídenie izolácie iným mechanizmom. Rozdiel medzi oboma nálezmi určuje, čo musí výskumník predviesť, aby sa hlásenie dalo posúdiť.

Reprodukovateľný nález rozhoduje o odmene

Pri hlásení chyby v Chrome rozhoduje reprodukovateľný dôkaz a jasne preukázaný dopad.

Pravidlá Chrome VRP vyžadujú stručný opis, samostatne priložený dôkaz konceptu a záznamy, jasné kroky reprodukcie a uvedenie dotknutej verzie Chrome. Chyba sa musí spoľahlivo prejaviť v Chrome, d8 alebo podporovanom testovacom zostavení. Špekulatívny opis možnej zraniteľnosti bez ukážky jej prejavu v Chrome program nepovažuje za použiteľné hlásenie.

Pri chybách pamäte treba navyše priložiť zmenšený príklad, ktorý problém vyvolá, a záznam pádu s identifikovanými symbolmi, prípadne identifikátor z chrome://crashes. Samotný výpis pádu alebo veľký nezredukovaný výstup fuzzera požiadavku na dôkaz konceptu nenahrádza. Pri chybe sandboxu V8 pravidlá požadujú test v príslušnom zostavení d8, ktorý únik skutočne uskutoční; označenie chyby ako úniku bez takého výsledku nestačí.

Podrobný sadzobník pravidiel ešte uvádza pôvodnú základnú odmenu 500 dolárov za chyby pamäte, kým októbrová zmena určuje 2 000 dolárov a počíta s aktualizáciou pravidiel. Novšia oznámená suma preto vyjadruje zmenu odmeňovania; technické požiadavky na kvalitu hlásenia zostávajú dôležité pri jej posúdení. O konkrétnej odmene rozhoduje panel až po reprodukcii a oprave chyby.

Vyššiu hodnotu má preukázaný dopad aj nový fuzzer

Nové rozdelenie odmien zvýhodňuje hlásenia, ktoré presne ukážu dosah chyby. Pri pamäťovej chybe je rozdiel medzi pádom, zápisom a kontrolovaným zápisom priamo premietnutý do možnej odmeny. Pevná suma za opraviteľnú nemäťovú chybu zase dáva hodnotu nálezom, ktorých prínos spočíva v určenej oprave, hoci nepredvádzajú kontrolu nad pamäťou.

Súčasťou zmeny je obnovený bonus 2 000 dolárov za vývoj a poskytnutie nového fuzzera, nástroja na hľadanie chýb pomocou neobvyklých vstupov. Program zároveň zavádza nenárokové koncoročné ocenenia v kategóriách „Most Findings“, „Best Report“ a „Best Bug“. Bonus za nástroj a tieto ocenenia sledujú iný prínos než odmena za jednotlivú zraniteľnosť; ich uvedenie neznamená, že sa pripočítajú ku každému uznanému hláseniu.

Nové sadzby zasiahnu aj čakajúce hlásenia

Okamžitá účinnosť zmien sa vzťahuje na nové podania. Podľa oznámených podmienok sa podľa nových sadzieb posúdia aj hlásenia podané po 30. apríli 2026, ktoré sú ešte vo fronte na vyhodnotenie. Výskumníci podávajú nové nálezy cez Google Bug Hunters s voľbou Chrome VRP.

Pri staršom čakajúcom hlásení zmena otvára možnosť vyššieho ohodnotenia, no neurčuje výslednú platbu vopred. Tú stanoví hodnotiaci panel podľa reprodukovaného nálezu, jeho preukázaného účinku a informácií v pôvodnom podaní po tom, čo sa chyba opraví.

Prečítajte si aj: