Mozilla ettevõte Firefoxis turvaprobleemide tuvastamise eest rahaliste preemiate maksmise algatuse laiendamise kohta. Lisaks otsestele haavatavustele katab nüüd programm Bug Bounty brauseri mehhanismidest möödahiilimine, mis takistavad ärakasutamist.
Sellised mehhanismid hõlmavad süsteemi HTML-i fragmentide puhastamiseks enne kasutamist privilegeeritud kontekstis, mälu jagamist DOM-i sõlmede ja stringide/arraypuhvrite jaoks, eval() keelamist süsteemi kontekstis ja vanemprotsessis, rangete CSP (sisu turbepoliitika) piirangute rakendamist teenusele. about” leheküljed :", mis keelab põhiprotsessis muude lehtede kui "chrome://", "source://" ja "about:" laadimise, välise JavaScripti koodi täitmise keelamine põhiprotsessis, õigustest möödaminek eraldusmehhanismid (kasutatakse liidese brauseri loomiseks) ja privilegeerimata JavaScripti kood. Näide veast, mis tingiks uue tasu maksmise, on: eval() kontrollimine Web Workeri lõimedes.
Haavatavuse tuvastamisel ja ärakasutamise kaitsemehhanismidest mööda minnes on teadlasel võimalik saada täiendavalt 50% põhipreemiast, tuvastatud haavatavuse jaoks (näiteks UXSS-i haavatavus, mis läheb mööda , võite saada 7000 dollarit pluss 3500 dollarit boonust). Tähelepanuväärne on asjaolu, et sõltumatute teadlaste hüvitiste programmi laiendamine toimub viimase aja taustal 250 Mozilla töötajat, mille all kogu Ohujuhtimismeeskond, kes tegeles juhtumite tuvastamise ja analüüsimisega, samuti Turvameeskond.
Lisaks teatatakse, et reeglid bounty-programmi rakendamiseks igaöistes ehitustes tuvastatud haavatavuste puhul on muutunud. Märgitakse, et sellised haavatavused avastatakse sageli kohe sisemiste automatiseeritud kontrollide ja udutestide käigus. Selliste vigade aruanded ei too kaasa Firefoxi turvalisuse ega udutestimise mehhanismide paranemist, seega makstakse preemiaid igaöiste ehitamiste haavatavuste eest ainult siis, kui probleem on olnud põhihoidlas üle 4 päeva ja seda ei tuvastanud sisemised süsteemid. tšekid ja Mozilla töötajad.
Allikas: opennet.ru