Mozilla Company om udvidelsen af kontante belønninger for at opdage sikkerhedsproblemer i infrastrukturkomponenter relateret til udviklingen af Firefox. Størrelsen på belønningerne for opdagelse af sårbarheder på Mozillas websteder og services er fordoblet, og belønningen for opdagelse af sårbarheder, der kan føre til udførelse af kode på , er steget til 15.000 dollars.
For at identificere en metode til at omgå godkendelse og indsætte SQL-kode kan man få en belønning på 6.000 dollars, mens man for mellemwebscripting og CSRF kan få 5.000 dollars. Nøglesiderne omfatter firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
og flere titusinde andre websteder relateret til tilføjelser, opdateringer, downloads, synkronisering og statistik.
For belønningen er cirka halveret. Basiswebstederne omfatter observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org og nogle interne tjenester til udviklere.
Sammenlignet med de tidligere gældende betingelser, er følgende blevet tilføjet til listen over nøglesider og -tjenester:
- (service til digitale signaturer),
- (service til automatisk placering af kode fra
Phabricator i repositories), - (værktøj til kodehåndtering, der anvendes til gennemgang af ændringer),
- (framework til opgaver, der understøtter systemet for kontinuerlig integration og udgivelsesprocesser).
De nye basiswebsteder inkluderer:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Service (indpakning over betalingssystemet Stripe),
- (tilføjelse med til beskyttelse af trafik),
- (system til oversættelse af anmodninger om at generere udgivelser),
- (talegenkendelsessystemet, der ligger til grund for Speech Recognition API).
Derudover kan man have til hensigt at aktivere i den planlagte udgivelse af Firefox 72 den 7. januar med påtrængende anmodninger om at give hjemmesiden yderligere tilladelser. Mange websteder misbruger den mulighed, der findes i browsere, til at anmode om tilladelser, hovedsageligt ved at fremvise periodiske anmodninger om at modtage push-notifikationer. Telemetrianalyser har vist, at 97% af sådanne anmodninger bliver afvist, herunder i 19% af tilfældene, hvor brugeren straks lukker siden uden at klikke på accept- eller afvisningsknappen. I Firefox 72 vil sådanne anmodninger blive blokeret, hvis der ikke er registreret brugerinteraktion med siden (mus klik eller tastetryk).
Blandt de kommende ændringer i Firefox 72 fremhæves også baggrundsfarverne for den aktuelle side i rullefeltet og binding af offentlige nøgler (PKP, Public Key Pinning), som gør det muligt at definere de certifikater fra hvilke certifikationsmyndigheder, der kan bruges for det pågældende websted ved hjælp af HTTP-headeren Public-Key-Pins. Årsagen til dette nævnes som den lave efterspørgsel efter denne funktion samt risikoen for kompatibilitetsproblemer (understøttelse af PKP) i Chrome) og muligheden for at blokere sit eget website på grund af forkert bindingsnøgler eller tab af nøgler (f.eks. utilsigtet sletning eller kompromittering som følge af angreb).
Kilde: opennet.ru
