发现加密通讯软件的0day漏洞了吗？Zerodium最高悬赏50万美元

▌作者：Michael Mimoso

▌翻译：360代码卫士团队

前言

利用代码收购市场上的厂商Zerodium刚刚宣布了对加密通讯软件中0day漏洞的新的定价结构。

针对加密通讯软件最高奖赏50万美元

Zerodium指出，如能在通讯软件如WhatsApp、Signal、Facebook Messenger、iMessage、Telegram等中找到远程代码执行和本地权限升级类0day漏洞则可获得50万美元的奖励。

加密通讯软件已成为执法部门、各国政府和关注隐私的用户和倡导者的焦点。去年当FBI坚持让苹果公司协助规避一名恐怖分子的iPhone时，这些app受到的关注达到顶峰。最终以FBI寻求以色列一家公司的协助收场。

Zerodium是由VUPEN的前联合创始人Chaouki Bekrar创立的，它的主要业务是购买0day漏洞，并连同利用和防御能力出售给客户。Zerodium并不会与受影响厂商共享攻击和漏洞，因此这些漏洞仍然处于未修复状态，很显然这并非软件公司所希望看到的结果。与此同时，Bekrar一直都称Zerodium和此前的VUPEN只跟民主和非受制裁的政府交易。

奖赏主要针对移动平台

这次的定价变化主要针对的是移动平台。此外，如研究人员在默认的移动邮件app中找到远程代码执行漏洞和本地权限升级漏洞，则可获得50万美元的奖励；如在基带和媒体文件或文档中找到RCE和LPE攻击则可获得15万美元的奖励；如发现沙箱逃逸、代码签名绕过、内核LPE、WiFi RCE和LPE以及SS7攻击，则可获得10万美元的奖励。

Bekrar支出，Zerodium的政府客户有获得进阶性能力和0day利用的需求，通过这些安全类移动app追踪犯罪分子。Bekrar支出，这类app的高价值源于客户的高需求以及这些app的小规模攻击面，因此对于发现并利用这些重要漏洞的安全研究人员来说非常具有挑战性。

Signal创始人Moxie Marlinspike以及WhatsApp和Facebook公司尚未就此事置评。

其它奖赏类别

Zerodium还宣布称为Windows 10远程代码执行0day漏洞提供30万美元的奖励，尤其是针对Windows默认服务如SMB或RDP的远程利用。网络服务器0day漏洞尤其是针对Linux和微软IIS远程代码执行攻击的Apache如今价值15万美元，而微软Outlook RCE价值10万美元。Mozilla Thunderbird RCE和VMware ESXi guest-to-host逃逸均值8万美元。

Zerodium还把Chrome、PHP和OpenSSL攻击的赏金翻了一番或几乎翻了一番；而针对Linux和Windows的Tor RCE的价值则分别从3万美元涨至10万美元和8万美元。

近一年前，Zerodium为苹果iOS 10远程越狱的赏金增长了两倍，达到150万美元，而此前针对Ios 9 0day的漏洞是100万美元。

本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士www.codesafe.cn”。