Mozilla разшири програмата за награди за откритие на уязвимости

Компания Mozilla обяви разширението на инициативата за изплащане на парични награди за откритие на проблеми с безопасността в Firefox. Освен уязвимостите, програмата Bug Bounty сега ще обхваща и методи заобикаляне на съществуващите в браузъра механизми, които пречат на работата на експлоитите.

Сред тези механизми е системата за почистване на HTML фрагменти преди използването им в привилегирован контекст, разделянето на паметта за DOM възли и стрингове/ArrayBuffers, забрана на eval() в системния контекст и родителския процес, прилагането на строги ограничения CSP (Content Security Policy) към служебни страници "about:", забрана за зареждане в родителския процес на страници, различни от "chrome://", "resource://" и "about:"; забрана за изпълнение на външен JavaScript код в родителския процес, заобикалянето на механизмите за разделяне на привилегирован (използван за изграждане на интерфейса на браузъра) и непривилегирован код на JavaScript. Като пример за грешка, попадаща под изплащането на нова награда, се посочва забравената проверка на eval() в Web Worker-ите.

При откритие на уязвимост и заобикаляне на механизмите за защита от експлоити, изследователят може да получи допълнителни 50% от базовата награда, присъждана за откритата уязвимост (например, за UXSS уязвимост, която заобикаля механизма HTML Sanitizer, ще може да се получат 7000 $ плюс добавка от 3500 $). Забележително е, че разширението на програмата за изплащане на награда за независими изследователи се провежда на фона на неотдавнашното уволнение на 250 служители на Mozilla, под което попаднал цялата команда за управление на заплахи (Threat management team), която е работила по открития и анализа на инциденти, а също и част от екипа Security team.

Освен това, се съобщава за промяна в правилата за прилагане на програмата за изплащане на награди за уязвимости, открити в нощни сборки. Отбелязва се, че подобни уязвимости често биват откривани незабавно в процеса на вътрешни автоматизирани проверки и fuzzing тестване. Докладите за подобни грешки не водят до подобряване на сигурността на Firefox и усъвършенстването на механизмите за fuzzing тестване, затова наградите за уязвимости в нощни сборки ще се изплащат само ако проблемът присъства в основния репозиторий повече от 4 дни и е останал неоткрит от вътрешните проверки и служители на Mozilla.

Източник: opennet.ru