گوگل ۳ آسیب‌پذیری مهم در مرورگر کروم را که برای دور زدن محیط جعبه شنی مرورگر وب قابل بهره‌برداری بودند، وصله کرده و در مجموع برای گزارش این آسیبپذیریها ۵۰ هزار دلار پاداش پرداخت کرده است. در به‌روزرسانی کروم۷۷ که در سپتامبر منتشر شد، گوگل ۲ آسیب‌پذیری دور زدن محیط جعبه شنی را وصله کرده بود. گفتنی است گروه امنیتی که این ۲ آسیب‌پذیری را گزارش کرده بود، به تازگی به‌خاطر بستر تحلیل کدی که توسعه داده‌اند، توسط گیت‌هاب خریداری شده است. این دو آسیب‌پذیری به دلیل اشکال‌های استفاده پس از استفاده در مولفه‌ی مدیا وجود داشتند و گوگل برای هریک از آن‌ها ۲۰ هزار دلار جایزه پرداخت کرد.
در کروم ۷۸ که گوگل این هفته منتشر کرده و در کروم ۷۷ که اوایل این ماه ارائه شد، ۳ آسیب‌پذیری دیگر وصله شده است. این آسیب‌پذیری ها اشکالاتی از جمله استفاده پس از آزادسازی در مولفه‌ی audio با شناسه‌ی CVE-2019-13695، آسیب‌پذیری استفاده پس از آزادسازی در مولفه‌ی مدیا با شناسه‌ی CVE-2019-13699 و آسیب‌پذیری buffer overrun در ماشین مرورگر Blink با شناسه‌ی CVE-2019-13700 هستند. هر یک از این آسیبپذیریها با شدت بالا ارزیابی شده و گوگل برای گزارش آن‌ها به ترتیب ۱۵، ۲۰ و ۱۵ هزار دلار جایزه پرداخت کرده است.
شرکت امنیتی که این آسیبپذیریها را به گوگل گزارش کرده، همه‌ی ۹۵ هزار دلاری را که از گوگل به عنوان پاداش دریافت کرده به یک موسسه‌ی خیریه اهدا کرده است. گوگل طبق قانون برنامه‌ی پاداش در ازای اشکال خود، اگر کسی بخواهد جایزه‌اش را به خیریه بدهد، مقدار پاداش را دو برابر می‌کند. محققان اعلام کرده‌اند اگر هریک از این آسیبپذیریها بتوانند مورد بهره‌برداری قرار بگیرند، به مهاجم قابلیت اجرای کدهای دلخواه در داخل جعبه شنی داده خواهد شد.
نکته‌ای که حتما باید به آن اشاره کنیم این است که این آسیبپذیریها به تنهایی برای یک مهاجم ارزشمند نیستند و در ترکیب با دیگر آسیبپذیریها می‌توانند به کار بیایند. هنوز جزئیات فنی در خصوص این آسیبپذیریها منتشر نشده اما محققان اعلام کرده‌اند آسیب‌پذیری CVE-2019-13700 در قالب یک خطای off-by-one به مهاجم اجازه‌ی نوشتن بایت null خارج از محدوده را می‌دهد. در مجموع در کروم ۷۸ تعداد ۳۷ آسیب‌پذیری وصله شده که ۲۱ مورد از آن‌ها توسط محققان خارج از شرکت به گوگل گزارش شده‌اند.
