Mozilla បានពង្រីកកម្មវិធីផ្តល់រង្វាន់ភាពងាយរងគ្រោះរបស់ខ្លួន។

ក្រុមហ៊ុន Mozilla បានប្រកាស អំពីការពង្រីកគំនិតផ្តួចផ្តើមដើម្បីបង់រង្វាន់ជាសាច់ប្រាក់សម្រាប់ការកំណត់បញ្ហាសុវត្ថិភាពនៅក្នុង Firefox ។ បន្ថែមពីលើភាពងាយរងគ្រោះដោយផ្ទាល់ កម្មវិធី Bug Bounty នឹងគ្របដណ្តប់ឥឡូវនេះ វិធីសាស្រ្ត រំលងយន្តការកម្មវិធីរុករកដែលការពារការកេងប្រវ័ញ្ចមិនដំណើរការ។

យន្តការបែបនេះរួមមានប្រព័ន្ធសម្រាប់សម្អាតបំណែក HTML មុនពេលប្រើប្រាស់ក្នុងបរិបទដែលមានសិទ្ធិ ការចែករំលែកអង្គចងចាំសម្រាប់ថ្នាំង DOM និងខ្សែអក្សរ/ArrayBuffers ការហាមឃាត់ eval() នៅក្នុងបរិបទប្រព័ន្ធ និងដំណើរការមេ ការអនុវត្តការរឹតបន្តឹង CSP (គោលនយោបាយសុវត្ថិភាពខ្លឹមសារ) យ៉ាងតឹងរឹងចំពោះសេវាកម្ម " អំពី" ទំព័រ :", ហាមឃាត់ការផ្ទុកទំព័រផ្សេងក្រៅពី "chrome://", "resource://" និង "about:" នៅក្នុងដំណើរការមេ ដោយហាមឃាត់ការប្រតិបត្តិនៃកូដ JavaScript ខាងក្រៅនៅក្នុងដំណើរការមេ ដោយរំលងសិទ្ធិ យន្តការបំបែក (ប្រើដើម្បីបង្កើតកម្មវិធីរុករកចំណុចប្រទាក់) និងកូដ JavaScript ដែលមិនមានសិទ្ធិ។ ឧទាហរណ៍នៃកំហុសដែលមានលក្ខណៈគ្រប់គ្រាន់សម្រាប់ការទូទាត់សំណងថ្មីគឺ៖ ភ្លេច កំពុងពិនិត្យមើល eval() នៅក្នុង Web Worker threads។

តាមរយៈការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះ និងឆ្លងកាត់យន្តការការពារការកេងប្រវ័ញ្ច អ្នកស្រាវជ្រាវនឹងអាចទទួលបានបន្ថែម 50% នៃរង្វាន់មូលដ្ឋាន។ ទទួលបានរង្វាន់ សម្រាប់ភាពងាយរងគ្រោះដែលបានកំណត់អត្តសញ្ញាណ (ឧទាហរណ៍ សម្រាប់ភាពងាយរងគ្រោះ UXSS ដែលឆ្លងកាត់ អនាម័យ HTMLអ្នកអាចទទួលបាន $7000 បូកនឹងប្រាក់រង្វាន់ $3500)។ គួរកត់សម្គាល់ថាការពង្រីកកម្មវិធីសំណងអ្នកស្រាវជ្រាវឯករាជ្យកើតឡើងប្រឆាំងនឹងផ្ទៃខាងក្រោយនៃថ្មីៗនេះ ការបញ្ឈប់ការងារ បុគ្គលិក Mozilla 250 នៅក្រោមនោះ។ បុក ក្រុមគ្រប់គ្រងការគំរាមកំហែងទាំងមូល ដែលចូលរួមក្នុងការកំណត់អត្តសញ្ញាណ និងវិភាគឧប្បត្តិហេតុ ក៏ដូចជា ផ្នែកនៃក្រុម ក្រុមសន្តិសុខ។

លើសពីនេះ វាត្រូវបានគេរាយការណ៍ថា ច្បាប់សម្រាប់អនុវត្តកម្មវិធីផ្តល់រង្វាន់ដល់ភាពងាយរងគ្រោះដែលត្រូវបានកំណត់នៅក្នុងការស្ថាបនាពេលយប់បានផ្លាស់ប្តូរ។ វាត្រូវបានកត់សម្គាល់ថាភាពងាយរងគ្រោះបែបនេះជាញឹកញាប់ត្រូវបានរកឃើញភ្លាមៗក្នុងអំឡុងពេលការត្រួតពិនិត្យដោយស្វ័យប្រវត្តិខាងក្នុង និងការធ្វើតេស្ត fuzzing ។ របាយការណ៍អំពីកំហុសបែបនេះមិននាំទៅរកការកែលម្អនៅក្នុងសុវត្ថិភាព Firefox ឬយន្តការសាកល្បង fuzz ទេ ដូច្នេះរង្វាន់សម្រាប់ភាពងាយរងគ្រោះក្នុងការបង្កើតពេលយប់នឹងត្រូវបានបង់លុះត្រាតែបញ្ហាមានវត្តមាននៅក្នុងឃ្លាំងធំអស់រយៈពេលជាង 4 ថ្ងៃ ហើយមិនត្រូវបានកំណត់អត្តសញ្ញាណដោយផ្ទៃក្នុង។ ត្រួតពិនិត្យ និងបុគ្គលិក Mozilla ។

ប្រភព: opennet.ru