Mozilla har udvidet programmet til belønning for at opdage sårbarheder

Mozilla Company har annonceret om udvidelsen af initiativet til udbetaling af belønninger for at identificere sikkerhedsproblemer i Firefox. Udover direkte sårbarheder vil Bug Bounty-programmet nu også dække metoder omgåelse af de eksisterende mekanismer i browseren, der forhindrer udførelsen af exploits.

Blandt sådanne mekanismer er systemet til oprydning af HTML-fragmenter, inden de anvendes i privilegerede kontekster, opdeling af hukommelse for DOM-noder og strenge/ArrayBuffers, forbud mod eval() i systemkonteksten og forældreprocessen, anvendelse af strenge CSP (Content Security Policy) begrænsninger på 'about:'-sider, forbud mod indlæsning i forældreprocessen fra sider, der ikke er 'chrome://', 'resource://' og 'about:', forbud mod udførelse af ekstern JavaScript-kode i forældreprocessen, samt omgåelse af mekanismerne, der adskiller privilegeret (brugt til at opbygge browserens interface) og ikke-privilegeret JavaScript-kode. Et eksempel på en fejl, der falder ind under nye belønningskriterier, er glemt tjek af eval() i Web Workers.

Når en sårbarhed opdages, og beskyttelsesmekanismerne mod exploits omgås, kan forskeren få 50% ekstra af den grundlæggende belønning, tildelt for den identificerede sårbarhed (for eksempel for en UXSS-sårbarhed, der omgår mekanismen HTML Sanitizer, kan man få $7000 plus et tillæg på $3500). Det er bemærkelsesværdigt, at udvidelsen af belønningsprogrammet for uafhængige forskere er sket i lyset af den nylige afskedigelse af 250 Mozilla-medarbejdere, herunder alle medlemmer af trusselsstyringsteamet (Threat management team), der arbejdede med at identificere og analysere hændelser, samt en del af teamet Security team. Desuden rapporteres der om ændringer i reglerne for anvendelsen af belønningsprogrammet på sårbarheder, der opdages i natlige builds. Det bemærkes, at sådanne sårbarheder ofte straks opdages under interne automatiserede kontroller og fuzzing-tests. Rapportering af sådanne fejl fører ikke til forbedring af sikkerheden i Firefox og forbedring af fuzzing-testmekanismerne, derfor vil belønninger for sårbarheder i natlige builds kun blive udbetalt, hvis problemet har været til stede i det primære repository i mere end 4 dage og ikke er blevet opdaget af interne kontroller og medarbejdere hos Mozilla.

Derudover rapporteres der om ændringer i reglerne for anvendelse af belønningsprogrammet for sårbarheder, der opdages i natlige builds. Det bemærkes, at sådanne sårbarheder ofte opdages hurtigt under interne automatiserede kontroller og fuzzing-test. Rapportering af sådanne fejl fører ikke til forbedringer af sikkerheden i Firefox og forbedringer af fuzzing-testmekanismerne. Derfor vil belønninger for sårbarheder i natlige builds kun blive udbetalt, hvis problemet har været til stede i det primære repository i mere end 4 dage og er forblevet uopdaget af interne kontroller og medarbejdere hos Mozilla.

Kilde: opennet.ru