Mozilla on laajentanut haavoittuvuuspalkkioohjelmaa

Mozilla Company ilmoitti aloitteen laajentamisesta maksaa rahapalkintoja Firefoxin tietoturvaongelmien tunnistamisesta. Suorien haavoittuvuuksien lisäksi Bug Bounty -ohjelma kattaa nyt методы ohittaa selaimen mekanismeja, jotka estävät hyväksikäytöt toimimasta.

Tällaisia ​​mekanismeja ovat järjestelmä HTML-fragmenttien puhdistamiseen ennen käyttöä etuoikeutetussa kontekstissa, muistin jakaminen DOM-solmuille ja merkkijonoille/ArrayBuffereille, eval():n poistaminen käytöstä järjestelmäkontekstissa ja pääprosessissa, tiukkojen CSP (Content Security Policy) -rajoitusten soveltaminen palveluun. about” -sivut :", muiden kuin "chrome://", "resource://" ja "about:" sivujen lataamisen estäminen pääprosessissa, ulkoisen JavaScript-koodin suorittamisen estäminen pääprosessissa, oikeuksien ohittaminen erotusmekanismit (käytetään käyttöliittymäselaimen rakentamiseen) ja etuoikeutettu JavaScript-koodi. Esimerkki virheestä, joka oikeuttaisi uuden korvauksen maksamiseen: unohdettu eval():n tarkistaminen Web Worker -säikeistä.

Tunnistamalla haavoittuvuuden ja ohittamalla hyväksikäytön suojamekanismit tutkija voi saada 50 % lisäpalkkiosta, palkittiin tunnistetun haavoittuvuuden vuoksi (esimerkiksi UXSS-haavoittuvuuden vuoksi, joka ohittaa HTML Sanitizer, voit saada 7000 3500 dollaria plus XNUMX XNUMX dollarin bonuksen). On huomionarvoista, että riippumattoman tutkijan palkitsemisohjelman laajentaminen tapahtuu viime aikoina lomautuksia 250 Mozillan työntekijää osuma koko Threat-johtoryhmä, joka oli mukana tunnistamassa ja analysoimassa tapauksia sekä osa joukkuetta Turvatiimi.

Lisäksi on raportoitu, että säännöt, jotka koskevat palkkio-ohjelman soveltamista öisissä koontiversioissa havaittuihin haavoittuvuuksiin, ovat muuttuneet. On huomattava, että tällaiset haavoittuvuudet havaitaan usein välittömästi sisäisten automaattisten tarkastusten ja sumeaa testausta tehtäessä. Tällaisten bugien raportit eivät johda parannuksiin Firefoxin tietoturvassa tai fuzz-testausmekanismeissa, joten palkintoja öisten koontiversioiden haavoittuvuuksista maksetaan vain, jos ongelma on ollut päävarastossa yli 4 päivää eikä sisäinen ole tunnistanut sitä. shekit ja Mozillan työntekijät.

Lähde: opennet.ru