[보안뉴스] 텐센트, 오픈소스로 전환한 OS 대상으로 버그바운티 시작

 

텐센트OS 타이니와 텐센트OS 서버에서 치명적 취약점 발견하면 최대 14만 달러
고위험군 취약점은 최대 4만 달러...해커원 통해 프로그램 진행되고 상금 수여돼

중국의 기술 대기업인 텐센트(Tencent)가 이번 주, 자사가 개발한 OS인 텐센트OS 타이니(TencentOS tiny)와 텐센트OS 서버(TencentOS Server)를 대상으로 버그바운티를 실시하겠다고 발표했습니다. 치명적인 취약점에 최대 14만 달러의 상금을 걸겠다고 예고했습니다.

지난 4월 텐센트는 버그바운티 플랫폼인 해커원(HackerOne)과 팀을 이뤄 화이트 해커들을 초대해 버그바운티 프로그램을 실시하겠다고 발표한 바 있고, 당시 약속된 금액은 최대 1만 5천 달러였습니다. 그것이 1~2개월 지난 시점에 확대된 것으로, 4월 당시에는 없었던 OS까지도 이번에 연구 대상 목록에 들어가게 되었습니다. 이 확대된 버그바운티의 경우 올해 말까지 운영된다고 합니다.

텐센트OS 서버는 ‘텐센트 리눅스(Tencent Linux)’와 ‘틀리눅스(Tlinux)’라는 이름으로도 일려져 있으며, 클라우드 서버의 용도로 사용된됩니다. 텐센트OS 타이니는 사물인터넷 장비들을 위한 OS, 즉 펌웨어입니다. 둘 다 작년에 오픈소스로 전환됐고, 만약 이 OS에서 루트 권한을 가지고 원격 코드 실행을 할 수 있게 해주거나, 가상 기계를 탈출할 수 있게 해주거나, 혹은 호스트에서 루트 권한을 가진 셸을 가져가게 해주는 치명적 취약점이 발견된다면 최대 14만 달러까지의 상금을 가져갈 수 있게 됩니다.

치명적 위험도보다는 한 단계 아래지만 여전히 위험하긴 마찬가지인 고위험군 취약점의 경우, 최대 4만 달러까지의 상금이 주어진다. 상금 수여 자격이 되는 취약점은 다음과 같습니다.
1) 로컬 권한 상승 취약점(루트 권한까지)
2) 디도스 공격 취약점(로컬과 원격 공격 모두)
그 외 나머지 고위험군 취약점은 심사를 거쳐 상금 수여 여부가 결정된다.

올해 말까지 진행되는 이번 텐센트 버그바운티는, 기존에 텐센트가 운영하던 버그바운티보다 상금이 대략 2배 정도 커진 것이라고 합니다. 이 OS들에서 사용되고 있는 서드파티 요소들에서 발견된 취약점들은 버그바운티 대상이 아닙니다.

이번에 해커원과 손을 잡고 버그바운티를 진행한다는 건, 해커원에 등록된 모든 해커들이 해당 OS의 분석과 실험에 참여할 수 있다는 것이고, 또한 상금도 해커원을 통해 해커들 개개인에게 전달된다고 합니다. 그러나 연구 보고서를 해커원에 내는 것은 아니다. 보안 전문가들이 보고서를 제출할 곳은 텐센트 보안 대응 센터(Tencent Security Response Center, TSRC)입니다.

텐센트에 의하면 지난 5월 버그바운티 대상이 될 취약점 보고서를 제출한 보안 연구원이 이미 50명이라고 합니다.

3줄 요약
1. 중국 대기업이 작년 오픈소스로 전환한 OS 대상으로 버그바운티 시작됨.
2. 최대 상금이 1억 원 넘는 규모. 참가하려면 해커원에 등록되어야 함.
3. 하지만 보고서 제출 자체는 텐센트 보안 대응 센터로 해야 함.