Компания Sony выплатила максимальное возможное вознаграждение в размере 50 000 долларов исследователю безопасности под ником 2tonejordy в рамках программы PlayStation Bug Bounty, работающей на платформе HackerOne. По данным открытых статистик, это лишь второй случай, когда компания достигает верхней границы награды за всю историю существования программы, запущенной в 2020 году. Для сравнения: средний размер выплаты в рамках инициативы составляет порядка 400 долларов, что делает рекордную сумму аномально высокой на фоне типичных бонусов.
Рекордная выплата на фоне скромной средней статистики
Разрыв между средней и максимальной выплатой иллюстрирует, насколько редкими являются находки, которые Sony считает критически важными. Программа Bug Bounty существует с 2020 года и за это время сформировала устойчивую статистику, в которой преобладают небольшие вознаграждения за типовые ошибки. Достижение потолка в 50 000 долларов произошло лишь дважды, что указывает на то, что компания резервирует максимальную сумму для уязвимостей, затрагивающих фундаментальные механизмы безопасности консоли, а не для локальных багов.
Критическая уязвимость гипервизора PlayStation 5
По информации источника, исследователь обнаружил критическую уязвимость в гипервизоре PlayStation 5 — программном слое, отвечающем за изоляцию и управление вычислительными средами консоли. Обнаруженный эксплойт, согласно материалам, ранее уже применялся известным моддером theflow0 для запуска операционной системы Linux на консоли последнего поколения. Таким образом, речь шла не о теоретической, а о практически реализованной возможности выхода за пределы штатной среды PlayStation 5.
Конфликт с моддером theflow0 и уход со сцены взлома
Согласно пересказу событий, theflow0 просил не направлять отчёт в Sony до релиза GTA VI. Однако после того, как третьи лица также начали подходить к обнаружению той же бреши, 2tonejordy принял решение официально уведомить инженеров компании. Это решение, по данным источника, спровоцировало волну споров в сообществе моддеров и привело к заявлению theflow0 об уходе со сцены взлома. Таким образом, вокруг одной уязвимости сложился конфликт между интересами исследователя, стремящегося к официальному вознаграждению, и моддера, который хотел сохранить контроль над таймингом раскрытия.
Масштаб выплат Sony за последние месяцы
В общей сложности за последние три месяца Sony выплатила более 228 000 долларов за найденные ошибки, а совокупная сумма наград по программе превысила 1,15 миллиона долларов. Эти цифры подтверждают, что компания последовательно инвестирует в программу вознаграждения за уязвимости, а рекордная выплата 2tonejordy стала её заметной, но не единственной частью. Для исследователей безопасности это сигнал, что критические находки в инфраструктуре консолей по-прежнему оцениваются на верхнем уровне шкалы.
