Mozilla rozšířila program odměn za odhalení zranitelností

Společnost Mozilla oznámila o rozšíření iniciativy poskytování finančních odměn za odhalení bezpečnostních problémů ve Firefoxu. Kromě samotných zranitelností bude program Bug Bounty nyní pokrývat také metody obcházení stávajících mechanismů v prohlížeči, které brání činnosti exploitů.

Mezi tyto mechanismy patří systém čištění fragmentů HTML před použitím v privilegovaném kontextu, oddělování paměti pro uzly DOM a řetězce/ArrayBuffers, zákaz eval() v systémovém kontextu a rodičovském procesu, použití přísných omezení CSP (Content Security Policy) na servisní stránky «about:», zákaz načítání stránek v rodičovském procesu, které se liší od «chrome://», «resource://» a «about:», zákaz provádění externího JavaScriptu v rodičovském procesu, obcházení mechanismů oddělování privilegovaného (používaného k vytváření uživatelského rozhraní prohlížeče) a neprivilegovaného JavaScriptového kódu. Jako příklad chyby, která spadá pod novou odměnu, je uvedena zapomenutá kontrola na eval() ve vláknech Web Workerů.

Při odhalení zranitelnosti a obcházení ochranných mechanismů bude mít výzkumník možnost získat navíc 50% z základní odměny, přiznávané za odhalenou zranitelnost (například za UXSS zranitelnost, která obchází mechanismus HTML Sanitizer, bude možné získat 7000 dolarů plus příplatek 3500 dolarů). Je pozoruhodné, že rozšíření programu odměn nezávislým výzkumníkům bylo provedeno na pozadí nedávného propuštění 250 zaměstnanců Mozilly, pod které spadla celá tým reakce na hrozby (Threat management team), který se zabýval odhalením a analýzou incidentů, a také část týmu Security team.

Kromě toho bylo oznámeno, že došlo ke změně pravidel pro používání programu vyplácení odměn za zranitelnosti identifikované v nočních sestaveních. Je zdůrazněno, že takové zranitelnosti jsou často okamžitě zjištěny během interních automatizovaných kontrol a fuzzingového testování. Oznámení o těchto chybách nevedou ke zlepšení bezpečnosti Firefoxu a vylepšení mechanismus fuzzingového testování, proto odměny za zranitelnosti v nočních sestaveních budou vypláceny pouze tehdy, pokud problém bude v hlavním repozitáři déle než 4 dny a zůstane neidentifikován interními kontrolami a zaměstnanci Mozilly.

Zdroj: opennet.ru