מוזילה הרחיבה את תוכנית פרס הפגיעות שלה

חברת מוזילה הוכרז על הרחבת היוזמה לשלם תגמולים במזומן עבור זיהוי בעיות אבטחה בפיירפוקס. בנוסף לפגיעויות ישירות, תוכנית Bug Bounty תכסה כעת методы עקיפת מנגנונים בדפדפן שמונעים מנצלים לפעול.

מנגנונים כאלה כוללים מערכת לניקוי קטעי HTML לפני שימוש בהקשר מועדף, שיתוף זיכרון עבור צמתי DOM ומחרוזות/ArrayBuffers, איסור על eval() בהקשר המערכת ובתהליך האב, החלת הגבלות קפדניות של CSP (Content Security Policy) על השירות " about” pages :", אוסר על טעינת דפים שאינם "chrome://", "resource://" ו-"about:" בתהליך האב, איסור ביצוע של קוד JavaScript חיצוני בתהליך האב, עקיפת הרשאות מנגנוני הפרדה (המשמשים לבניית דפדפן הממשק) וקוד JavaScript ללא פריבילגיה. דוגמה לטעות שתזכה לתשלום שכר חדש היא: ישכח בודק eval() בשרשורי Web Worker.

על ידי זיהוי פגיעות ועקיפת מנגנוני הגנה מפני ניצול, החוקר יוכל לקבל 50% נוספים מהתגמול הבסיסי, הוענק עבור פגיעות מזוהה (לדוגמה, עבור פגיעות UXSS שעוקפת את חיטוי HTML, אתה יכול לקבל $7000 פלוס בונוס של $3500). ראוי לציין כי הרחבת תוכנית התגמול העצמאית לחוקרים באה על רקע התקופה האחרונה פיטורים 250 עובדי מוזילה, תחתיהם מכה כל צוות הנהלת האיומים, שהיה מעורב בזיהוי וניתוח אירועים וכן חלק מהצוות צוות אבטחה.

בנוסף, מדווחים כי הכללים להחלת תוכנית הבאונטי על נקודות תורפה שזוהו בבנייה לילית השתנו. יצוין כי פגיעויות כאלה מתגלות לעתים קרובות מיד במהלך בדיקות אוטומטיות פנימיות ובדיקות מעורפלות. דיווחים על באגים כאלה אינם מובילים לשיפורים באבטחה של Firefox או במנגנוני בדיקת fuzz, ולכן תגמולים על נקודות תורפה בבנייה לילית ישולמו רק אם הבעיה הייתה קיימת במאגר הראשי במשך יותר מ-4 ימים ולא זוהתה על ידי פנימי צ'קים ועובדי מוזילה.

מקור: OpenNet.ru