Mozilla는 취약성 현상금 프로그램을 확대했습니다.

모질라 회사 발표했다. Firefox의 보안 문제를 식별하면 현금 보상을 지급하는 계획을 확대하는 방법에 대해 설명합니다. 직접적인 취약점 외에도 버그 바운티 프로그램은 이제 방법들 익스플로잇의 작동을 방지하는 브라우저 메커니즘을 우회합니다.

이러한 메커니즘에는 권한 있는 컨텍스트에서 사용하기 전에 HTML 조각을 정리하고, DOM 노드 및 문자열/ArrayBuffers에 대한 메모리를 공유하고, 시스템 컨텍스트 및 상위 프로세스에서 eval()을 금지하고, 서비스에 엄격한 CSP(콘텐츠 보안 정책) 제한을 적용하는 시스템이 포함됩니다. about” 페이지 :", 상위 프로세스에서 "chrome://", "resource://" 및 "about:" 이외의 페이지 로드를 금지하고, 상위 프로세스에서 외부 JavaScript 코드 실행을 금지하고, 권한을 우회합니다. 분리 메커니즘(인터페이스 브라우저를 구축하는 데 사용됨) 및 권한이 없는 JavaScript 코드. 새로운 보수 지급 대상이 되는 오류의 예는 다음과 같습니다. 잊혀진 웹 작업자 스레드에서 eval()을 확인합니다.

취약점을 식별하고 익스플로잇 방지 메커니즘을 우회함으로써 연구원은 기본 보상의 50%를 추가로 받을 수 있습니다. 수여 식별된 취약점(예: UXSS 취약점을 우회하는 경우) HTML 새니타이저, $7000에 $3500 보너스를 받을 수 있습니다.) 최근 독립연구자 보상제도의 확대가 주목된다. 해고 250명의 Mozilla 직원, 그 아래 치다 사고 식별 및 분석에 참여한 위협 관리팀 전체와 팀의 일부 보안팀.

또한, 야간 빌드에서 확인된 취약점에 대한 포상금 프로그램 적용 규칙이 변경된 것으로 보고되었습니다. 이러한 취약점은 내부 자동 점검 및 퍼징 테스트 중에 즉시 발견되는 경우가 많습니다. 이러한 버그에 대한 보고는 Firefox 보안이나 퍼지 테스트 메커니즘의 개선으로 이어지지 않습니다. 따라서 야간 빌드의 취약점에 대한 보상은 문제가 4일 이상 기본 저장소에 존재하고 내부 부서에서 확인되지 않은 경우에만 지급됩니다. 수표와 Mozilla 직원.

출처 : opennet.ru