Google、「KVM」の脆弱性発見に最大25万ドルの報奨金を提供する「kvmCTF」を開始：Google Bare Metal SolutionのゲストVMからホストへの攻撃を試せる

Googleは、「KVM」のゼロデイ脆弱（ぜいじゃく）性を発見、報告した人に報奨金を提供するプログラム「kvmCTF」を開始した。

[＠IT]

　Googleは2024年6月27日（米国時間）、「KVM（Kernel-based Virtual Machine：カーネルベースの仮想マシン）」のゼロデイ脆弱（ぜいじゃく）性を発見、報告した人に報奨金を提供するプログラム「kvmCTF」を開始した。

　KVMは、15年以上にわたってオープンソースで開発されてきた仮想化技術であり、AndroidやGoogle Cloudといったプラットフォームなどに採用され、消費者や企業に広く利用されている。

　kvmCTFは、KVMにおける脆弱性の特定と対処を支援するように設計されており、ラボ環境を提供する。プログラム参加者はこれにログインし、自らが発見した脆弱性を突く攻撃を行い、成功すると、それを証明するフラグを取得する。

　kvmCTFはゼロデイ脆弱性を対象としており、nデイ脆弱性を突く攻撃は、報奨金の対象外だという。kvmCTFで報告されたゼロデイ脆弱性に関する詳細は、アップストリームパッチの公開後にGoogleに共有される。Googleは、オープンソースコミュニティーと同時に詳細を入手することになる。

kvmCTFの仕組み