Zerodium 启动新一轮 0day 漏洞收购 最高赏金50万美元
翻译：360代码卫士团队
利用经纪商 Zerodium 出价最高50万美元收购 UNIX 操作系统如 OpenBSD、FreeBSD、NetBSD 等以及 Linux 版本如 Ubuntu、CentOS、Debian 和 Tails 等中的 0day 漏洞。
这次收购广告上周出现在 Twitter 平台上，属于 Zerodium 公司最新发布的 0day 漏洞广告内容。Zerodium 因购买 0day 漏洞并转售给政府机构和执法部门而为人所知。
Zerodium 网站日常运营 0day 收购计划，不过如果需要某种类型的 0day 漏洞，则通常会给出更高奖励。
BSD 0day 和 Linux 0day 赏金持平
2月份，Zerodium 提高对 Linux 0day 漏洞的奖金，最高提至4.5 万美元。在上周发布的另外一份公告中，Zerodium 表示正在寻求 Linux 0day 漏洞，而且还在寻找针对 BSD 系统的利用代码。这次，奖金最高可达50万美元。Zerodium 表示将把对 BSD 系统的临时奖金数额提高至和 Linux 版本普通奖金的水平。
Zerodium 对 Linux 权限提升漏洞的奖励金范围是1万美元至3万美元。本地权限提升漏洞如果达到“质量和覆盖非凡”的程度将可获得10万美元的奖励，比如影响所有主要版本的 Linux 内核利用。
对 Linux 远程代码利用的奖金范围是5万美元至50万美元之间，数额多少取决于目标软件/服务及其市场份额。最高奖励金通常颁发给影响 CentOS 和 Ubuntu 版本的本地权限提升和远程代码执行漏洞。
0day 漏洞价格基于利用链
Zerodium 公司指出，对所提交 0day 漏洞的收购价格和用户交互要求有关（比如无需点击、点击一次或点击两次等）。其它价格因素包括利用的可靠性、成功率、最终利用运作所需要链接的漏洞数量（链接漏洞数量越多，说明漏洞意外遭破解的几率越大）以及利用运作所需的操作系统配置（如果利用能针对默认的操作系统配置，则价格更高）。
除了最近发布的针对 BSD 系统的 0day 漏洞收购外，Zerodium 还在收购针对 iOS 9、iOS 10、Adobe Flash Player、移动即时通讯应用、Tor 浏览器、web 托管软件、微软 Outlook、安卓和 Linux 的 0day 漏洞。
Zerodium 因2015年出价150万美元收购 iOS 0day 漏洞而声名鹊起。这些奖金目前是网站标准价格表的一部分，而针对 iPhone 设备的远程越狱持续性利用最高奖励150万美元。
服务器 0day 漏洞“能获得巨额奖励”
Zerodium 公司的创始人 Chaouki Bekrar 表示，“系统之间的价格差异主要是由市场份额驱动的。”他指出，“对于桌面环境而言，由于 Windows 引领市场，Windows 的利用价格通常要高于 Linux。然而对于服务器环境而言，Linux 能吸引更多的客户数量而奖金也会达到令人吃惊的数量。”
Bekrar 表示，“很显然，多数利用仍然是行业中最昂贵也最具价值的资产，因为从运营角度而言，高价是由它们的市场渗透和用处决定的。”
他指出，“我们的目标是针对每款主流软件、硬件或操作系统，都要备有两个或更多的完全起作用的利用，这也就是说我们会不时地在社交平台上推广某类软件/系统来收购新代码并增强或扩展现有能力。”另外它表示也会相应客户的要求及其运营需求。
0day 漏洞市场竞争激烈
自2015年以来，Zerodium 吸引了大家对利用经纪市场的注意力，之后这个市场变得越来越饱和，而且也越来越乌烟瘴气。某些公司被指向专制政府或政权控制的政府机构出售 0day 漏洞。这些机构通常利用这些 0day 漏洞攻击政治反派、记者以及政见不同者，而非追查真正的网络犯罪分子。
最近进入 0day 经纪市场的公司是 Crowdfense，它最近推出一个奖金为1000万美元的收购计划，并已支付给研究人员450万美元。
关联阅读
原文链接
https://www.bleepingcomputer.com/news/security/rewards-of-up-to-500-000-offered-for-freebsd-openbsd-netbsd-linux-zero-days/
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。