मोज़िला ने अपने भेद्यता इनाम कार्यक्रम का विस्तार किया है

मोज़िला कंपनी की घोषणा की फ़ायरफ़ॉक्स में सुरक्षा संबंधी समस्याओं की पहचान करने पर नकद पुरस्कार देने की पहल का विस्तार करने पर विचार किया जा रहा है। कमजोरियों के अलावा, बग बाउंटी कार्यक्रम अब निम्नलिखित को भी कवर करेगा методы मौजूदा ब्राउज़र तंत्र को दरकिनार करना जो शोषण को काम करने से रोकता है।

इस तरह के तंत्रों में विशेषाधिकार प्राप्त संदर्भ में उपयोग करने से पहले HTML अंशों को साफ करने की प्रणाली, DOM नोड्स और स्ट्रिंग्स/ArrayBuffers के लिए मेमोरी को अलग करना, सिस्टम संदर्भ और मूल प्रक्रिया में eval() को अक्षम करना, "about:" सेवा पृष्ठों पर सख्त सामग्री सुरक्षा नीति (CSP) प्रतिबंध लागू करना, मूल प्रक्रिया में "chrome://", "resource://" और "about:" के अलावा अन्य पृष्ठों को लोड करना अक्षम करना, मूल प्रक्रिया में बाहरी जावास्क्रिप्ट कोड के निष्पादन को अक्षम करना, और विशेषाधिकार प्राप्त (ब्राउज़र इंटरफ़ेस बनाने के लिए उपयोग किया जाता है) और विशेषाधिकार रहित जावास्क्रिप्ट कोड को अलग करने के तंत्र को बायपास करना शामिल है। एक त्रुटि का उदाहरण जो नए पुरस्कार के लिए योग्य होगा, नीचे दिया गया है: भूल गई वेब वर्कर थ्रेड्स में eval() की जाँच करें।

यदि किसी भेद्यता की पहचान कर ली जाती है और शोषण सुरक्षा तंत्र को दरकिनार कर दिया जाता है, तो शोधकर्ता मूल पुरस्कार का अतिरिक्त 50% प्राप्त करने में सक्षम होगा। पुरस्कार पहचानी गई भेद्यता के लिए (उदाहरण के लिए, UXSS भेद्यता के लिए जो तंत्र को बायपास करती है HTML सैनिटाइज़र(आप $7000 प्लस $3500 बोनस प्राप्त कर सकते हैं)। यह उल्लेखनीय है कि स्वतंत्र शोधकर्ता पुरस्कार कार्यक्रम का विस्तार हाल ही में हुए एक सर्वेक्षण के दौरान हुआ है। शिकार जिसके अंतर्गत 250 मोज़िला कर्मचारी हैं चोट घटनाओं की पहचान और जांच में शामिल संपूर्ण खतरा प्रबंधन टीम, साथ ही टीम का हिस्सा सुरक्षा टीम.

इसके अतिरिक्त, रात्रिकालीन बिल्ड में पाई गई कमजोरियों पर बाउंटी कार्यक्रम लागू करने के नियम भी बदल गए हैं। यह ध्यान देने योग्य बात है कि ऐसी कमजोरियों का अक्सर आंतरिक स्वचालित जांच और फ़ज़िंग परीक्षण के दौरान तुरंत पता चल जाता है। ऐसे बगों की रिपोर्ट करने से फायरफॉक्स सुरक्षा में सुधार या फ़ज़ परीक्षण तंत्र में सुधार नहीं होता है, इसलिए रात्रिकालीन बिल्ड में कमजोरियों के लिए इनाम केवल तभी दिया जाएगा जब समस्या मुख्य रिपोजिटरी में 4 दिनों से अधिक समय तक मौजूद रही हो और आंतरिक जांच और मोज़िला कर्मचारियों द्वारा पता नहीं लगाई गई हो।

स्रोत: opennet.ru