苹果员工在CTF大赛发现谷歌0day秘而不报 $10000赏金由他人获得

最新推荐文章于 2025-09-30 18:01:16 发布

转载最新推荐文章于 2025-09-30 18:01:16 发布 · 276 阅读

本内容遵循CC 4.0 BY-SA版权协议

原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247517155&idx=1&sn=9af2d4f8742d395b46b7d44e219d9b05&chksm=ea94b289dde33b9f559073d1207e8437f82e8b6acf046825ee7f690fcbe59f72977119ba7dae&scene=126&sessionid=0

谷歌修复了一个由苹果员工在CTF比赛中发现但未立即报告的Chrome0day漏洞。最终，谷歌将1万美元赏金给了报告该漏洞的第三方，而非苹果员工。漏洞发现者解释了延迟报告的原因，包括内部报告流程和对紧急程度的评估。

聚焦源代码安全，网罗国内外最新资讯！

作者：Lorenzo Franceschi-Bicchierai

编译：代码卫士

谷歌在官方漏洞报告中提到，修复了由苹果员工找到的一个 Chrome 0day 漏洞。虽然漏洞本身并非新闻，但该漏洞的发现和报告过程有点奇特。最终，谷歌将1万美元赏金发给了报告该漏洞的人，而非这名发现该漏洞的苹果员工。

谷歌的一名员工提到，该漏洞最初是由苹果公司的一名员工在参加3月份HXP CTF大赛时发现的，但这名员工并未立即报告当时还是 0day 状态的漏洞，而是由另外一名同样参加该大赛但并未发现该漏洞甚至并不在发现该漏洞所在团队的其他人报告的。

谷歌员工写道，“该漏洞由 CTF 团队 HXP 的成员 sisu 报告，由苹果安全工程和架构 (SEAR) 成员在 HXP CTF 2022 大赛期间发现。”

认为紧急度不高

声称是最初发现该漏洞的这名苹果员工在一个 Discrod 频道中进行了解释，尤其说明了为何未立即报告该漏洞的原因。这名昵称为 Gallileo 的苹果员工在7月6日回应 Sisu 称，“我花了两周的时间研究根因，编写PoC 和 writeup，以便漏洞被修复。我所在的公司在6月5日报告了该漏洞。报送时间确实晚了，原因很多。首先我必须找到负责的人，报告必须得签字。虽然Chrome 决定尽快修复值得赞扬，但我认为紧急程度没有那么高。只有你和我的团队知道这个漏洞，而这个问题在现实生活中很可能并没有那么严重（不适用于安卓，它冻结了 Chrome GUI 几秒的时间，因此很容易看到）。”

Gallileo、Sisu、苹果公司均未就此事置评。

谷歌的发言人 Ed Fernandez 提到，“我们的理解在漏洞报告中已发布。我们建议向苹果公司了解更多详情。”

参与CTF大赛的意大利团队 mhackeroni 的成员 Filippo Cremonese 提到，CTF 团队和CTF 参与人员在大赛中找到 0day 漏洞并不罕见，尤其是在这类“高级别”大赛中更是如此。