Lub tuam txhab Mozilla hais txog kev nthuav tawm txoj kev pib them nyiaj ntsuab rau kev txheeb xyuas cov teeb meem kev nyab xeeb hauv Firefox. Ntxiv rau qhov tsis muaj peev xwm ncaj qha, Bug Bounty program tam sim no yuav npog bypassing mechanisms nyob rau hauv lub browser uas tiv thaiv exploits los ntawm kev ua hauj lwm.
Cov txheej txheem zoo li no suav nrog cov txheej txheem rau kev ntxuav cov ntu HTML ua ntej siv hauv cov ntsiab lus tsim nyog, sib koom nco txog DOM nodes thiab cov hlua / ArrayBuffers, cuam tshuam eval() hauv cov ntsiab lus ntawm cov txheej txheem thiab niam txiv cov txheej txheem, thov nruj CSP (Cov Ntsiab Cai Kev Nyab Xeeb) txwv rau kev pabcuam " hais txog" nplooj ntawv :", txwv tsis pub thauj cov nplooj ntawv uas tsis yog "chrome: //", "resource: //" thiab "txog:" hauv cov txheej txheem niam txiv, txwv tsis pub ua kom tiav cov lej JavaScript sab nraud hauv cov txheej txheem niam txiv, hla txoj cai sib cais mechanisms (siv los tsim lub interface browser) thiab unprivileged JavaScript code. Ib qho piv txwv ntawm qhov yuam kev uas yuav tsim nyog tau txais cov nyiaj them rov qab tshiab yog: tshawb xyuas eval() hauv Web Worker threads.
Los ntawm kev txheeb xyuas qhov tsis txaus ntseeg thiab hla kev siv cov txheej txheem tiv thaiv, tus kws tshawb fawb yuav tuaj yeem tau txais 50% ntxiv ntawm cov nqi zog, rau qhov tsis zoo uas raug txheeb xyuas (piv txwv li, rau UXSS qhov tsis zoo uas hla lub , koj tuaj yeem tau txais $ 7000 ntxiv rau $ 3500 ntxiv). Nws yog ib qho tseem ceeb hais tias qhov kev nthuav dav ntawm cov neeg tshawb fawb ywj pheej nyiaj pab kev pab cuam los tawm tsam cov keeb kwm yav dhau los tsis ntev los no 250 Mozilla cov neeg ua haujlwm, nyob rau hauv uas tag nrho pawg tswj hwm Kev Nyuaj Siab, uas tau koom nrog hauv kev txheeb xyuas thiab txheeb xyuas qhov xwm txheej, nrog rau Pab neeg ruaj ntseg.
Tsis tas li ntawd, nws tau tshaj tawm tias cov kev cai rau kev siv cov nyiaj pab them nqi kho mob rau qhov tsis zoo uas tau pom nyob rau hauv kev tsim ua hmo ntuj tau hloov pauv. Nws tau raug sau tseg tias qhov tsis zoo li no feem ntau pom tam sim ntawd thaum lub sijhawm kuaj xyuas hauv nruab nrab thiab kev sim fuzzing. Cov ntawv ceeb toom ntawm cov kab no tsis ua rau kev txhim kho hauv Firefox kev ruaj ntseg lossis fuzz kev sim cov txheej txheem, yog li cov khoom plig rau qhov tsis zoo hauv kev tsim ua hmo ntuj tsuas yog them yog tias qhov teeb meem tau tshwm sim hauv qhov chaw cia khoom loj tshaj 4 hnub thiab tsis tau txheeb xyuas los ntawm sab hauv. xyuas thiab cov neeg ua haujlwm Mozilla.
Tau qhov twg los: opennet.ru
