Компанія Sony виплатила максимальну можливу винагороду в розмірі 50 000 доларів досліднику безпеки під ніком 2tonejordy в межах програми PlayStation Bug Bounty, що працює на платформі HackerOne. За даними відкритих статистик, це лише другий випадок, коли компанія досягає верхньої межі нагороди за всю історію існування програми, запущеної у 2020 році. Для порівняння: середній розмір виплати в межах ініціативи становить приблизно 400 доларів, що робить рекордну суму аномально високою на тлі типових бонусів.
Рекордна виплата на тлі скромної середньої статистики
Розрив між середньою та максимальною виплатою ілюструє, наскільки рідкісними є знахідки, які Sony вважає критично важливими. Програма Bug Bounty існує з 2020 року і за цей час сформувала стійку статистику, в якій переважають невеликі винагороди за типові помилки. Досягнення стелі в 50 000 доларів відбулося лише двічі, що вказує на те, що компанія резервує максимальну суму для вразливостей, які зачіпають фундаментальні механізми безпеки консолі, а не для локальних багів.
Критична вразливість гіпервізора PlayStation 5
За інформацією джерела, дослідник виявив критичну вразливість у гіпервізорі PlayStation 5 — програмному шарі, що відповідає за ізоляцію та управління обчислювальними середовищами консолі. Знайдений експлойт, згідно з матеріалами, раніше вже застосовувався відомим моддером theflow0 для запуску операційної системи Linux на консолі останнього покоління. Таким чином, йшлося не про теоретичну, а про практично реалізовану можливість виходу за межі штатного середовища PlayStation 5.
Конфлікт із моддером theflow0 та відхід зі сцени зламу
Згідно з переказом подій, theflow0 просив не надсилати звіт до Sony до релізу GTA VI. Однак після того, як треті особи також почали наближатися до виявлення цієї ж діри, 2tonejordy ухвалив рішення офіційно повідомити інженерів компанії. Це рішення, за даними джерела, спровокувало хвилю суперечок у спільноті моддерів і призвело до заяви theflow0 про відхід зі сцени зламу. Таким чином, навколо однієї вразливості склався конфликт між інтересами дослідника, який прагне офіційної винагороди, і моддера, який хотів зберегти контроль над таймінгом розкриття.
Масштаб виплат Sony за останні місяці
Загалом за останні три місяці Sony виплатила понад 228 000 доларів за знайдені помилки, а сукупна сума нагород за програмою перевищила 1,15 мільйона доларів. Ці цифри підтверджують, що компанія послідовно інвестує в програму винагороди за вразливості, а рекордна виплата 2tonejordy стала її помітною, але не єдиною частиною. Для дослідників безпеки це сигнал, що критичні знахідки в інфраструктурі консолей і досі оцінюються на верхньому рівні шкали.
