Google が、Chrome の脆弱性報奨金プログラム (VRP) を改定し、メモリ破損の脆弱性に対する基本報奨金を 4 倍の 2,000 ドルに引き上げたことが報じられました。
この変更は、重大なバグの発見と修正を後押しし、Chrome のセキュリティを高めることが目的とされています。
深刻で見つけにくいバグへの報奨を厚く
今回の改定は、Google が引き下げていた報奨金の一部を戻す内容となっており、Google は VRP の主な目的を、最も深刻で発見しにくい脆弱性を把握し、社内のテスト改善につなげることだと説明しています。
この対象となるメモリ関連の脆弱性について、報奨金が次のように改定されました。
- ブラウザ、ネットワーク、GPU プロセス：Web コンテンツ経由のコントロール可能な書き込みは最大 2 万ドル、読み取りやクラッシュは最大 4,000 ドル
- レンダラープロセス：書き込みと解放後使用 (UAF) は最大 8,000 ドル
- V8 サンドボックス：一律 5,000 ドル
- V8 のロジックバグ：一律 4,000 ドル
修正につながる中程度の脆弱性も対象に
メモリ安全性に関係しない、中程度の深刻度の脆弱性にも報奨金が設けられ、レポートに修正が含まれている、または修正に直結する場合に一律 2,000 ドルが支払われます。あわせて、メモリ安全性に関係しない影響の大きいサンドボックスエスケープには、最大 2 万ドルが支払われます。
また、Chrome 向けの新しいファザーを開発・提供した研究者に支払う 2,000 ドルの「Chrome Fuzzer Bonus」も復活しました。ファジングは、想定外の入力を与えてバグを洗い出すテスト手法で、この提出ガイドラインは今後 Chrome VRP の FAQ に掲載される予定です。
新しい規則の適用時期と報告方法
新しい支払い規則はすぐに適用され、2026 年 4 月 30 日より後に提出された審査待ちのレポートも新しい体系で評価されます。年末には、「Most Findings」、「Best Bug」、「Best Report」といった表彰も予定されています。
脆弱性は Google Bug Hunters から報告し、「Chrome VRP」を選択します。新しいカテゴリやルールの変更は、Chrome VRP ルールのページに追加されます。
