Mozilla は脆弱性報奨金プログラムを拡大しました

モジラ社 発表した Firefox のセキュリティ問題を特定した場合に現金で報奨金を支払う取り組みの拡大について。 直接的な脆弱性に加えて、バグ報奨金プログラムの対象となるのは次のとおりです。 методы エクスプロイトの動作を防ぐブラウザーのメカニズムをバイパスします。

このようなメカニズムには、特権コンテキストで使用する前に HTML フラグメントをクリーニングするシステム、DOM ノードと文字列/ArrayBuffers のメモリを共有するシステム、システム コンテキストと親プロセスでの eval() の禁止、サービスへの厳格な CSP (コンテンツ セキュリティ ポリシー) 制限の適用などがあります。 about”pages :”、親プロセスでの「chrome://」、「resource://」、「about:」以外のページの読み込みを禁止、親プロセスでの外部 JavaScript コードの実行を禁止、特権をバイパス(インターフェイス ブラウザの構築に使用される) 分離メカニズムと特権のない JavaScript コード。 新しい報酬の支払いの対象となるエラーの例は次のとおりです。 忘れられた Web ワーカー スレッド内の eval() をチェックします。

脆弱性を特定し、エクスプロイト保護メカニズムをバイパスすることで、研究者は基本報酬の 50% を追加で受け取ることができます。 受賞 特定された脆弱性 (たとえば、 HTMLサニタイザー、7000 ドルと 3500 ドルのボーナスを獲得できます)。 独立研究者報酬制度の拡充が近年の情勢を背景にしていることは注目に値する。 解雇 250 人の Mozilla 従業員、その下に ぶつかる インシデントの特定と分析に携わった脅威管理チーム全体と、 チームの一員 セキュリティチーム。

さらに、ナイトリービルドで特定された脆弱性に対する報奨金プログラムの適用ルールが変更されたと報告されている。 このような脆弱性は、多くの場合、内部の自動チェックやファジング テスト中に即座に検出されることに注意してください。 このようなバグの報告は、Firefox のセキュリティやファズ テスト メカニズムの改善にはつながりません。そのため、夜間ビルドの脆弱性に対する報奨金は、問題がメイン リポジトリに 4 日以上存在し、内部リポジトリによって特定されなかった場合にのみ支払われます。小切手と Mozilla 従業員。

出所： オープンネット.ru