Google, Kritik Google Cloud Açıkları İçin Ödülü 250 Bin Dolara Çıkardı

Google, bulut altyapısında saldırganlara geniş kapsamlı yönetici yetkileri kazandırabilecek kritik güvenlik açıklarını bildiren araştırmacılar için 250 bin dolarlık yeni bir ödül duyurdu. Cloud Vulnerability Reward Program (VRP) kapsamına eklenen Root-in-Cloud kategorisi, herhangi bir ön erişim gerektirmeden Google Cloud kuruluşları veya projeleri üzerinde tam yönetici kontrolü sağlayan açıkları hedefliyor. Şirket, araştırmacıların gerçek müşteri ortamlarını riske atmadan bulgularını kanıtlayabilmesi için özel bir doğrulama mekanizması geliştirdi.

Google Cloud Açıkları İçin 250 Bin Dolarlık Ödülün Koşulları Açıklandı

Google Cloud Güvenlik Direktörü (CISO) Chris Betz, en yüksek ödülün bulut altyapısının temel güvenlik sınırlarını aşan kritik açıklar için verileceğini belirtti. Root-in-Cloud kategorisi, farklı müşterilerin kaynaklarını birbirinden ayıran tenant isolation mekanizmasının aşılması veya birden fazla bulut hizmeti arasındaki karmaşık mantık hatalarının istismar edilmesi gibi senaryoları kapsıyor.

Araştırmacıların ödüle hak kazanabilmesi için herhangi bir Google Cloud kuruluşu ya da projesi üzerinde tam yönetici kontrolü elde edebildiğini göstermesi gerekiyor. Google, bu seviyeyi roles/owner rolüne eşdeğer yetki veya eksiksiz IAM kontrolü olarak tanımlıyor. Başvurunun kabul edilmesi için araştırmacının hedef projeye önceden erişiminin bulunmaması, özel proje yapılandırmasına ihtiyaç duymaması ve ayrıcalıklı erişim gerektirmeyen bir güvenlik açığını kanıtlaması şart koşuluyor.

Şirket, kurumsal bulut ortamlarında erişim sınırlarını aşabilen güvenlik hatalarını öncelikli riskler arasında değerlendiriyor. Bir saldırganın farklı müşterilere ait kaynaklar üzerinde yönetici kontrolü elde etmesi, yalnızca tek bir uygulamayı değil, daha geniş bir bulut ortamını etkileyebilecek sonuçlar doğurabiliyor.

Google, üretim altyapısında uzaktan kod çalıştırma (RCE) elde edildiğini veya üretim sistemlerinde root seviyesinde yetkiye ulaşıldığını gösteren geçerli raporların da Root-in-Cloud ödülü açısından değerlendirmeye alınacağını açıkladı. Şirketin üretim altyapısında kullanılan Borg sistemi üzerinde kod çalıştırma sağlayan açıklar bu kapsamda incelenebiliyor.

Araştırmacıların güvenlik sınırlarını doğrularken gerçek müşteri projelerinde test yapmasını engellemek isteyen Google, özel bir kanıtlama yöntemi hazırladı. Belirlenmiş bir hizmet hesabını kullanan bu mekanizma, araştırmacıların yetkisiz erişimi kriptografik olarak kanıtlamasına olanak tanıyor.

Google Cloud VRP Lideri Michael Cote, yüksek ödüllerin açık ve güvenli test kurallarıyla birlikte uygulanması gerektiğini vurguladı. Şirket, araştırmacıların üretim altyapısında kod çalıştırmayı başardıkları durumlarda daha ileri testleri durdurmasını istiyor. Üretim kimlik bilgilerini ele geçirmeye, başka sistemlere yatay hareketle ilerlemeye veya erişimi daha fazla genişletmeye yönelik işlemler programdan diskalifiye edilmeye yol açabiliyor.

Araştırmacılar, başvuru hazırlarken Google Cloud VRP kurallarındaki uç nokta tanımlarını, JSON veri örneklerini ve komut satırı aracı kullanım yönergelerini inceleyebiliyor. Bu kurallar, güvenlik açığının kanıtlanması sırasında müşteri verilerinin ve üretim sistemlerinin korunmasını amaçlıyor.

Yeni ödül kategorisi, Google’ın güvenlik araştırmalarını teşvik etme yaklaşımındaki güncellemelerden biri olarak öne çıkıyor. Şirket, Ekim ayında yapay zekâ tarafından üretilen çok sayıda başvuru nedeniyle Açık Kaynak Yazılım Güvenlik Açığı Ödül Programı’na (OSS VRP) yeni rapor kabulünü geçici olarak durdurmuştu. Bu karar, otomatik araçlarla üretilen bildirimlerin güvenlik ekipleri üzerindeki iş yükünü artırmasıyla ilişkilendirildi.

Google, ilk güvenlik açığı ödül programını 2010 yılında başlattığından bu yana dünya genelindeki araştırmacılara toplam 81,6 milyon doların üzerinde ödeme yaptı. Şirketin açıkladığı verilere göre 2025 yılında 700’den fazla güvenlik araştırmacısına toplam 17,1 milyon dolar ödül verildi. Bu tutar, 2024 yılında ödenen 12 milyon dolara kıyasla yaklaşık yüzde 40 artış anlamına geliyor.

Root-in-Cloud kategorisiyle Google, genel yazılım hatalarından ziyade bulut altyapısının güvenlik sınırlarını aşan ve geniş kapsamlı yönetici erişimi sağlayan açıkları ödüllendirmeyi amaçlıyor. Araştırmacılar için belirlenen 250 bin dolarlık üst sınır, Google Cloud ortamlarında en yüksek etkiye sahip güvenlik sorunlarının sorumlu biçimde bildirilmesini teşvik ediyor.