freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Android 0day收购价高达250万美金,首次反超iOS
2019-09-04 13:30:40

Android.jpg

近日,漏洞收购商Zerodium更新了安卓和iOS的0day漏洞收购价,发现自2015年公司成立以来,安卓0day漏洞价格首次高于iOS漏洞价格。

此外,Zerodium将这次变动发布在推特上。其中,还提及了在当前的市场上iMessage和WhatsApp的零点击漏洞价格有所上升,而iOS的一次点击漏洞价格有所下降。

安卓和iOS的RCE + LPE非持久性零点击漏洞之前收购价是100万美元,而如今则上涨到150万美元。Zerodium发布了新的漏洞列表,其中,安卓持久性全链零点击漏洞价格达到250万美元,而iOS漏洞则为50万美元。

捕获.PNG

特殊0day漏洞的奖励甚至更高

该公司降低了部分漏洞收购价格,比如苹果iOS持久性全链(一次点击)漏洞,现在从之前的150万美元降价为现在的100万美元。而现在网络安全研究人员愿意出售iMessage RCE + LPE非持久性(一次点击)漏洞源码,他们以前没有提交的0day漏洞只比漏洞奖金减少了50万美元。

Zerodium通过收购获取0day漏洞源码,其收购价取决于被攻击的软件或者系统的知名度和安全级别,以及提交的漏洞质量(全链或部分链、支持的版本/系统/ 架构、可靠性、绕过漏洞利用缓解、默认与非默认组件、流程延续等)。

Zerodium网站上列出的0day漏洞价格仅供参考,多半是指全功能漏洞价格。如果漏洞是“特殊的”并满足其“最高要求”,Zerodium可能会支付更多费用。

漏洞利用获取平台不同,评估和验证漏洞的时长也不一样。但一般是在一周内评估和验证所有提交的漏洞。通过银行转账或加密货币(如比特币或Monero)分一次或多次付款而第一笔付款至少在一周内就能发放。

Zerodium mobile payouts.png

市场上的iOS漏洞泛滥如潮

Zerodium的首席执行官Chaouki Bekrar说到,“过去几个月,我们观察到世界各地的研究人员开发和出售的iOS漏洞数量有所增加,主要是Safari和iMessage链。0day漏洞市场也是如此,所以我们最近开始拒绝收购一些iOS漏洞。“

“另一方面,由于谷歌和三星的安全团队,安卓发布的每一个版本都更安全,因此开发安卓漏洞全链变得非常困难和耗时,而且开发无用户互动的零点击漏洞变得更加困难”

鉴于这种新的市场背景和趋势,Zerodium决定提高Android漏洞收购价格,除非苹果进一步提升iOS的安全性并加强其最薄弱的部分,即iMessage和Safari(Webkit和沙箱)。

当被问及WhatsApp零点击漏洞的收购价上升背后是否有任何特殊原因时,Zerodium的首席执行官表示,主要还是在于对WhatsApp漏洞需求增加”。

高质量0day漏洞需求增加

5月初,Zerodium增加了一类新漏洞,“该漏洞会影响三星S10 / S9的安全启动加载程序(S-Boot),并通过物理访问导致任意代码执行、安全旁路或数据访问,但在新类别的范围内只添加了安卓 9或8的Exynos型号。

两个月前,Zerodium宣布它正在寻求购买VMware ESXi(vSphere)或Microsoft Hyper-V漏洞,即Guest-to-Host逃逸。可靠的0day漏洞可以在默认配置上运行,并且可以访问完全主机,最高可达50万美元。

Zerodium不是市场中唯一收购0day漏洞的公司,还有其他公司也在收购,比如Crowdfense在2018年4月推出了自己的1000万美元的漏洞赏金计划。

Crowdfense说,“在2019年,我们将发布更大的1500万美元收购计划,扩大范围,包括其他重要的研究领域,包括网络设备、WiFi /基带和信使。 对于全链、未提交过的、特殊的漏洞,每次成功提交后的酬金从10万美元到300万美元不等。部分链将根据具体情况进行评估,并按比例定价。”

*参考来源:bleepingcomputer,Sandra1432编译,转载请注明来自FreeBuf.COM


# 0day # Android # ios
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者