Mozilla ընկերություն Firefox-ում անվտանգության խնդիրների բացահայտման համար դրամական պարգևներ վճարելու նախաձեռնության ընդլայնման մասին: Բացի ուղղակի խոցելիություններից, Bug Bounty ծրագիրը այժմ կներառի զննարկիչում շրջանցելով մեխանիզմները, որոնք թույլ չեն տալիս շահագործել:
Նման մեխանիզմները ներառում են արտոնյալ համատեքստում օգտագործելուց առաջ HTML ֆրագմենտները մաքրելու համակարգ, DOM հանգույցների և տողերի/ArrayBuffer-ների հիշողության փոխանակում, eval()-ի արգելում համակարգի համատեքստում և ծնող գործընթացում, ծառայության նկատմամբ խիստ CSP (Content Security Policy) սահմանափակումների կիրառում: about» էջեր :», արգելելով «chrome://», «resource://» և «about:»-ից տարբեր էջերի բեռնումը մայր գործընթացում, արգելելով արտաքին JavaScript կոդի կատարումը մայր գործընթացում՝ շրջանցելով արտոնությունները։ տարանջատման մեխանիզմներ (օգտագործվում է ինտերֆեյսի բրաուզերի ստեղծման համար) և JavaScript-ի անարտոնյալ կոդ: Սխալի օրինակ, որը կարող է որակավորվել նոր վարձատրություն վճարելու համար. eval()-ի ստուգում Web Worker թելերում:
Բացահայտելով խոցելիությունը և շրջանցելով շահագործման պաշտպանության մեխանիզմները՝ հետազոտողը կկարողանա ստանալ հիմնական պարգևի լրացուցիչ 50%-ը, հայտնաբերված խոցելիության համար (օրինակ՝ UXSS խոցելիության համար, որը շրջանցում է , կարող եք ստանալ $7000 գումարած $3500 բոնուս): Հատկանշական է, որ անկախ հետազոտողների փոխհատուցման ծրագրի ընդլայնումը տեղի է ունենում վերջին օրերի ֆոնին. Mozilla-ի 250 աշխատակից, որոնց տակ սպառնալիքների կառավարման ողջ թիմը, որը ներգրավված էր միջադեպերի բացահայտման և վերլուծության մեջ, ինչպես նաև Անվտանգության թիմ.
Բացի այդ, հաղորդվում է, որ փոխվել են գիշերային շինություններում հայտնաբերված խոցելի վայրերում պարգևավճարի ծրագրի կիրառման կանոնները: Նշվում է, որ նման խոցելիությունները հաճախ անմիջապես հայտնաբերվում են ներքին ավտոմատացված ստուգումների և անորոշ թեստավորման ժամանակ: Նման սխալների մասին հաղորդումները չեն հանգեցնում Firefox-ի անվտանգության կամ fuzz-ի փորձարկման մեխանիզմների բարելավմանը, ուստի գիշերային ձևաչափերում խոցելիության համար պարգևները կվճարվեն միայն այն դեպքում, եթե խնդիրը առկա է հիմնական պահոցում ավելի քան 4 օր և չի բացահայտվել ներքին կողմից: չեկեր և Mozilla-ի աշխատակիցներ։
Source: opennet.ru