Perusahaan Mozilla babagan ngembangaken inisiatif kanggo mbayar ganjaran awis kanggo ngenali masalah keamanan ing Firefox. Saliyane kerentanan langsung, program Bug Bounty saiki bakal nutupi nglewati mekanisme ing browser sing nyegah eksploitasi bisa digunakake.
Mekanisme kasebut kalebu sistem kanggo ngresiki fragmen HTML sadurunge digunakake ing konteks istimewa, nuduhake memori kanggo simpul DOM lan strings / ArrayBuffers, mateni eval () ing konteks sistem lan proses induk, ngetrapake watesan CSP (Kabijakan Keamanan Konten) sing ketat kanggo layanan " babagan" kaca :", nglarang mbukak kaca liyane saka "chrome://", "resource://" lan "about:" ing proses induk, nglarang eksekusi kode JavaScript eksternal ing proses induk, nglewati hak istimewa mekanisme pamisahan (digunakake kanggo mbangun browser antarmuka) lan kode JavaScript unprivileged. Conto kesalahan sing cocog kanggo mbayar remunerasi anyar yaiku: mriksa eval () ing Utas Web Worker.
Kanthi ngenali kerentanan lan ngliwati mekanisme perlindungan eksploitasi, peneliti bakal bisa nampa tambahan 50% saka ganjaran dhasar, kanggo kerentanan sing diidentifikasi (contone, kanggo kerentanan UXSS sing ngliwati , sampeyan bisa njaluk $ 7000 plus $ 3500 bonus). Wigati dimangerteni manawa ekspansi program kompensasi peneliti independen ditindakake kanthi latar mburi anyar 250 karyawan Mozilla, ing ngisor iki kabeh tim manajemen Ancaman, sing melu ngenali lan nganalisa kedadeyan, uga Tim keamanan.
Kajaba iku, dilaporake yen aturan kanggo ngetrapake program hadiah kanggo kerentanan sing diidentifikasi ing bangunan wengi wis diganti. Wigati dicathet yen kerentanan kasebut asring langsung dideteksi sajrone pamriksa otomatis internal lan tes fuzzing. Laporan babagan kewan omo kasebut ora nyebabake perbaikan keamanan Firefox utawa mekanisme uji coba fuzz, mula ganjaran kanggo kerentanan ing mbangun wengi mung bakal dibayar yen masalah wis ana ing gudang utama luwih saka 4 dina lan durung diidentifikasi dening internal. mriksa lan karyawan Mozilla.
Source: opennet.ru