Mozilla ընկերություն Firefox-ում անվտանգության խնդիրների բացահայտման համար դրամական պարգևներ վճարելու նախաձեռնության ընդլայնման վերաբերյալ: Բացի բուն խոցելիություններից, Bug Bounty ծրագիրը այժմ նաև կներառի շրջանցելով առկա զննարկիչի մեխանիզմները, որոնք թույլ չեն տալիս շահագործել:
Նման մեխանիզմները ներառում են HTML բեկորները արտոնյալ համատեքստում օգտագործելուց առաջ մաքրելու համակարգ, DOM հանգույցների և տողերի/ArrayBuffers-ի հիշողությունը առանձնացնելը, համակարգի համատեքստում eval()-ի անջատումը և մայր պրոցեսը, Բովանդակության անվտանգության քաղաքականության (CSP) խիստ սահմանափակումների կիրառումը «about:» ծառայության էջերում, անջատելով loading էջերը «reab: գործընթաց, անջատելով արտաքին JavaScript կոդի կատարումը մայր գործընթացում և շրջանցելով արտոնյալ (օգտագործվում է բրաուզերի ինտերֆեյսի կառուցման համար) և ոչ արտոնյալ JavaScript կոդի բաժանման մեխանիզմները: Սխալի օրինակ, որը կարող է որակավորվել նոր պարգևի համար, տրված է ստորև. ստուգեք eval()-ը Web Worker թելերում:
Եթե հայտնաբերվի խոցելիություն և շրջանցվեն շահագործման պաշտպանության մեխանիզմները, հետազոտողը կկարողանա ստանալ հիմնական պարգևի լրացուցիչ 50%-ը: հայտնաբերված խոցելիության համար (օրինակ՝ UXSS խոցելիության համար, որը շրջանցում է մեխանիզմը , կարող եք ստանալ $7000 գումարած $3500 բոնուս): Հատկանշական է, որ անկախ հետազոտողների պարգևատրման ծրագրի ընդլայնումը տեղի է ունենում վերջին օրերի ֆոնին Mozilla-ի 250 աշխատակից, որոնց տակ վտանգների կառավարման ողջ թիմը, որը ներգրավված է միջադեպերի բացահայտման և հետաքննության մեջ, ինչպես նաև Անվտանգության թիմ.
Բացի այդ, փոխվել են գիշերային շինություններում հայտնաբերված խոցելիությունների նկատմամբ պարգևավճարի ծրագրի կիրառման կանոնները: Նշվում է, որ նման խոցելիությունները հաճախ անմիջապես հայտնաբերվում են ներքին ավտոմատացված ստուգումների և անորոշ թեստավորման ժամանակ: Նման սխալների մասին հաղորդումը չի հանգեցնում Firefox-ի անվտանգության բարելավման կամ fuzz-ի փորձարկման մեխանիզմների բարելավմանը, ուստի գիշերային նախագծում խոցելիության համար պարգևավճարները կվճարվեն միայն այն դեպքում, եթե խնդիրը առկա է հիմնական պահոցում ավելի քան 4 օր և չի հայտնաբերվել ներքին ստուգումների և Mozilla-ի աշխատակիցների կողմից:
Source: opennet.ru
