Google、KVMハイバーバイザの脆弱性報奨プログラム「kvmCTF」を開始

　米Googleは、オープンソーステクノロジのセキュリティ強化の一環として、カーネルベースの仮想マシン（KVM）ハイパーバイザの脆弱性報奨プログラム（VRP）である、「kvmCTF」を開始することを6月27日（現地時間）に発表した。

　kvmCTFは、すでに実施されているkernelCTFと同様に、KVMハイパーバイザの脆弱性を特定して対処するのに役立つよう設計された脆弱性報奨プログラム。参加者には、ログインしてエクスプロイトを利用してフラグを取得できるラボ環境が提供される。

　同プログラムでは、ゼロデイ脆弱性に重点が置かれているため、nデイ脆弱性を利用するエクスプロイトには報奨金が支給されない。また、ゼロデイ脆弱性に関する詳細はアップストリームパッチがリリースされた後にGoogleと共有され、Googleは他のオープンソースコミュニティと同時に詳細の取得が可能になる。

　インフラストラクチャは、Google Bare Metal Solution（BMS）環境を使用してホストされ、ハイパーバイザのシステム全体におけるセキュリティ面での重要さを考慮して、コード実行やVMエスケープを含むさまざまなレベルの脆弱性に対して報奨金を支給する。

　参加者は、時間枠を予約してゲストVMにアクセスし、ゲストからホストへの攻撃を試みることができる。攻撃の目的は、ホストカーネルのKVMサブシステムにおけるゼロデイ脆弱性を悪用することで、攻撃が成功すると攻撃者は脆弱性の悪用を達成したことを証明する、フラグを取得する。

　報奨金の額は、以下の報奨金階層システムに基づいて支給され、すべての報告がケースごとに徹底的に評価される。

• 完全なVMエスケープ：250000米ドル
• 任意のメモリ書き込み：100000米ドル
• 任意のメモリ読み取り：50000米ドル
• 相対的なメモリ書き込み：50000米ドル
• サービス拒否：20000米ドル
• 相対的なメモリ読み取り：10000米ドル

　相対的なメモリ書き込み／読み取り層と部分的なサービス拒否を容易にすべく、同プログラムではKASANが有効なホストを使用するオプションが提供されている。その場合は、KASAN違反をトリガすれば証拠としてフラグの取得が可能になる。