A Mozilla kiterjesztette a sebezhetőségek felfedezéséért járó díjprogramot

A Mozilla vállalat bejelentette a Firefox biztonsági problémák felfedezéséért járó pénzjutalmi kezdeményezés bővítéséről. A hibavadász program nemcsak a sebezhetőségekre, hanem módszerek a böngészőben lévő kihasználási mechanizmusok megkerülésére is kiterjed.

Ilyen mechanizmusok közé tartozik az HTML-fragmentumok tisztítási rendszere, amelyet öröklött környezetben használnak, a DOM csomópontok és a stringek/ArrayBuffers memóriájának elválasztása, az eval() tilalma a rendszerszintű környezetben és a szülő folyamatban, a szigorú CSP (Content Security Policy) korlátozások alkalmazása az 'about:' szolgáltató oldalakon, a 'chrome://', 'resource://' és 'about:' oldalaktól eltérő oldalak betöltésének tilalma a szülő folyamatban, a külső JavaScript-kód szülő folyamatban történő végrehajtásának tilalma, valamint a privilegizált (a böngésző felhasználói felületének építéséhez használt) és nem privilegizált JavaScript-kód közötti megkülönböztető mechanizmusok megkerülése. Az új jutalomra vonatkozó példa hibára a következő vonatkozik elfeledett eval() ellenőrzés Web Worker szálakban.

Ha a sebezhetőséget és a kihasználásvédelmi mechanizmusok megkerülését fedezik fel, a kutató 50%-ot kaphat az alapjutalomból, amelyet a felfedezett sebezhetőségért ítélnek meg (például egy UXSS-sebezhetőség esetén, amely megkerüli a HTML Sanitizer, $7000-ot lehet kapni, plusz egy $3500-os kiegészítést). Érdekes, hogy a program kiterjesztése egy független kutató által történt, nemrég elbocsátás 250 Mozilla alkalmazott számára, amihez tartozott az összes fenyegetéskezelő csapat (Threat management team), amely a káresetek felfedezésével és elemzésével foglalkozott, valamint a Security team egy része.

Ezen kívül arról is beszámolnak, hogy a jutalmazási program alkalmazásának szabályai megváltoznak az éjszakai build-ekben felfedezett sebezhetőségekre vonatkozóan. Azt jegyzik meg, hogy az ilyen sebezhetőségeket gyakran azonnal felfedezik a belső automatizált ellenőrzések és fuzzing-tesztelések során. Az ilyen hibák bejelentése nem vezet Firefox biztonságának javulásához és a fuzzing-tesztelési mechanizmusok fejlesztéséhez, ezért az éjszakai build-ekben felfedezett sebezhetőségekért járó jutalmakat csak akkor fizetik ki, ha a probléma több mint 4 napig a fő adattárban van jelen, és nem kerültek felfedezésre a belső ellenőrzések és a Mozilla munkatársai által.

Forrás: opennet.ru