મોઝિલા નબળાઈ બાઉન્ટી પ્રોગ્રામને વિસ્તૃત કરે છે

મોઝિલા કંપની જાહેરાત કરી ફાયરફોક્સમાં સુરક્ષા સમસ્યાઓ ઓળખવા માટે રોકડ પુરસ્કારો ચૂકવવાની પહેલને વિસ્તૃત કરવા વિશે. સીધી નબળાઈઓ ઉપરાંત, બગ બાઉન્ટી પ્રોગ્રામ હવે આવરી લેશે પદ્ધતિઓ બ્રાઉઝર-આધારિત મિકેનિઝમ્સને બાયપાસ કરીને જે શોષણને કામ કરતા અટકાવે છે.

આવા મિકેનિઝમ્સમાં વિશેષાધિકૃત સંદર્ભમાં HTML ટુકડાઓનો ઉપયોગ કરતા પહેલા તેને સાફ કરવા, DOM નોડ્સ અને સ્ટ્રિંગ્સ / ArrayBuffers માટે મેમરી શેર કરવા, સિસ્ટમ સંદર્ભમાં eval () ને અક્ષમ કરવા અને પેરેન્ટ પ્રક્રિયા, કડક CSP (સામગ્રી સુરક્ષા નીતિ) પ્રતિબંધો લાગુ કરવા માટેની સિસ્ટમનો સમાવેશ થાય છે. સેવા પૃષ્ઠો માટે "about :", "chrome://", "resource://" અને "about:" સિવાયના પેજની પેરેન્ટ પ્રક્રિયામાં લોડિંગને અવરોધિત કરવું, પેરેંટ પ્રક્રિયામાં બાહ્ય JavaScript કોડના અમલ પર પ્રતિબંધ મૂકવો, બાયપાસ કરીને વિશેષાધિકૃત વિભાજન મિકેનિઝમ્સ (ઇન્ટરફેસ બ્રાઉઝર બનાવવા માટે વપરાય છે) અને અનપ્રિવિલેજ્ડ JavaScript કોડ. નવી ફીને આધીન ભૂલનું ઉદાહરણ છે ભૂલી ગયા વેબ વર્કર થ્રેડોમાં eval() માટે તપાસી રહ્યું છે.

જો કોઈ નબળાઈ ઓળખવામાં આવે છે અને શોષણ સંરક્ષણ મિકેનિઝમ્સને બાયપાસ કરવામાં આવે છે, તો સંશોધક મૂળ પુરસ્કારના વધારાના 50% પ્રાપ્ત કરી શકશે, એનાયત ઓળખાયેલ નબળાઈ માટે (ઉદાહરણ તરીકે, UXSS નબળાઈ માટે જે બાયપાસ કરે છે HTML સેનિટાઇઝર, તમને $7000 વત્તા $3500 સરચાર્જ પ્રાપ્ત થશે). નોંધનીય રીતે, સ્વતંત્ર સંશોધક બક્ષિસ કાર્યક્રમનું વિસ્તરણ તાજેતરની પૃષ્ઠભૂમિ સામે આવે છે છટણી 250 મોઝિલા કર્મચારીઓ, જે હેઠળ ફટકો સમગ્ર થ્રેટ મેનેજમેન્ટ ટીમ ઘટનાઓને ઓળખવા અને તેનું વિશ્લેષણ કરવામાં સામેલ છે, તેમજ ટીમનો ભાગ સુરક્ષા ટીમ.

આ ઉપરાંત, રાત્રિના બિલ્ડ્સમાં જોવા મળતી નબળાઈઓ માટે બક્ષિસ પ્રોગ્રામ લાગુ કરવાના નિયમોમાં ફેરફારની જાણ કરવામાં આવી છે. એ નોંધ્યું છે કે આંતરિક સ્વચાલિત તપાસો અને અસ્પષ્ટ પરીક્ષણ દરમિયાન આવી નબળાઈઓ ઘણીવાર તરત જ શોધી કાઢવામાં આવે છે. આ બગ્સની જાણ કરવાથી ફાયરફોક્સની સુરક્ષા અને ફઝ ટેસ્ટિંગ મિકેનિઝમ્સમાં સુધારો થતો નથી, તેથી રાત્રિના બગ બાઉન્ટીઝ ફક્ત ત્યારે જ ચૂકવવામાં આવશે જો સમસ્યા મુખ્ય ભંડારમાં 4 દિવસથી વધુ સમયથી હાજર હોય અને મોઝિલાના આંતરિક ઑડિટ અને સ્ટાફ દ્વારા તેની ઓળખ ન થઈ હોય.

સોર્સ: opennet.ru