Sony hat im Rahmen des PlayStation Bug Bounty-Programms auf HackerOne die maximal mögliche Belohnung von 50.000 US-Dollar an den Sicherheitsforscher 2tonejordy ausgezahlt. Öffentlichen Statistiken zufolge ist dies erst das zweite Mal in der gesamten Geschichte des 2020 gestarteten Programms, dass das Unternehmen die Obergrenze der Auszahlung erreicht hat. Zum Vergleich: Die durchschnittliche Auszahlung im Rahmen der Initiative liegt bei rund 400 US-Dollar, was die Rekordsumme im Vergleich zu typischen Boni anomal hoch erscheinen lässt.

Rekordzahlung vor dem Hintergrund bescheidener Durchschnittsstatistiken

Die Diskrepanz zwischen der durchschnittlichen und der maximalen Auszahlung verdeutlicht, wie selten Funde sind, die Sony als kritisch einstuft. Das Bug Bounty-Programm existiert seit 2020 und hat seither eine stabile Statistik hervorgebracht, die von kleineren Belohnungen für Standardfehler dominiert wird. Das Erreichen der 50.000-Dollar-Obergrenze kam erst zweimal vor, was darauf hindeutet, dass das Unternehmen den Höchstbetrag für Schwachstellen reserviert, die grundlegende Sicherheitsmechanismen der Konsole betreffen, statt für lokale Bugs.

Kritische Hypervisor-Schwachstelle der PlayStation 5

Quellen zufolge entdeckte der Forscher eine kritische Schwachstelle im Hypervisor der PlayStation 5 – jener Software-Ebene, die für die Isolierung und Verwaltung der Rechenumgebungen der Konsole zuständig ist. Der gefundene Exploit wurde demnach zuvor bereits von dem bekannten Modder theflow0 verwendet, um das Betriebssystem Linux auf der Konsole der neuesten Generation auszuführen. Es handelte sich somit nicht um eine theoretische Möglichkeit, sondern um einen praktisch umgesetzten Ausbruch aus der Standard-Umgebung der PlayStation 5.

Konflikt mit Modder theflow0 und Abschied von der Hackerszene

Berichten über die Ereignisse zufolge hatte theflow0 darum gebeten, den Bericht vor der Veröffentlichung von GTA VI nicht an Sony zu übermitteln. Nachdem jedoch auch Dritte der Entdeckung derselben Lücke näherkamen, entschied sich 2tonejordy, die Ingenieure des Unternehmens offiziell zu informieren. Dieser Schritt löste Berichten zufolge eine Welle von Kontroversen in der Modder-Community aus und führte dazu, dass theflow0 seinen Rückzug von der Hackerszene ankündigte. Um eine einzige Schwachstelle entstand somit ein Konflikt zwischen den Interessen des Forschers, der eine offizielle Belohnung anstrebte, und denen des Modders, der die Kontrolle über das Timing der Offenlegung behalten wollte.

Umfang der Sony-Auszahlungen in den letzten Monaten

Insgesamt hat Sony in den letzten drei Monaten über 228.000 US-Dollar für entdeckte Fehler ausgezahlt, während die Gesamtsumme der Prämien im Rahmen des Programms 1,15 Millionen US-Dollar überschritten hat. Diese Zahlen bestätigen, dass das Unternehmen kontinuierlich in sein Schwachstellen-Prämienprogramm investiert, und die Rekordauszahlung an 2tonejordy ist zu einem markanten, wenn auch nicht isolierten Teil davon geworden. Für Sicherheitsforscher ist dies ein Signal, dass kritische Funde in der Konsoleninfrastruktur weiterhin im oberen Bereich der Skala bewertet werden.