Mozilla ја прошири својата програма за доделување ранливост

Компанијата Мозила објави за проширување на иницијативата за плаќање парични награди за идентификување безбедносни проблеми во Firefox. Покрај директните пропусти, програмата Bug Bounty сега ќе ги покрива методи заобиколувајќи механизми во прелистувачот што спречуваат експлоатирања да работат.

Таквите механизми вклучуваат систем за чистење на фрагменти од HTML пред употреба во привилегиран контекст, споделување меморија за DOM јазли и стрингови/ArrayBuffers, забрана на eval() во системскиот контекст и родителски процес, примена на строги ограничувања на CSP (Политика за безбедност на содржината) на услугата “ за“ страници :“, со што се забранува вчитување на страници освен „chrome://“, „resource://“ и „about:“ во матичниот процес, забрана за извршување на надворешен JavaScript код во матичниот процес, заобиколувајќи ја привилегијата механизми за одвојување (кои се користат за изградба на прелистувачот за интерфејс) и непривилегиран JavaScript код. Пример за грешка што би се квалификувала за плаќање на нов надомест е: заборавени проверка на eval() во нишките на Web Worker.

Со идентификување на ранливост и заобиколување на механизмите за заштита од експлоатација, истражувачот ќе може да добие дополнителни 50% од основната награда, доделени за идентификувана ранливост (на пример, за UXSS ранливост што го заобиколува HTML дезинфекција, можете да добиете 7000 долари плус бонус од 3500 долари). Вреди да се одбележи дека проширувањето на програмата за компензација на независни истражувачи доаѓа наспроти позадината на неодамнешното отпуштања 250 вработени во Мозила, под кои удри целиот тим за управување со Threat, кој беше вклучен во идентификување и анализа на инцидентите, како и дел од тимот Тим за безбедност.

Дополнително, објавено е дека се променети правилата за примена на програмата за баунти за ранливости идентификувани во ноќните изданија. Забележано е дека таквите пропусти честопати веднаш се откриваат при внатрешни автоматизирани проверки и тестирање за замаглување. Извештаите за такви грешки не водат до подобрувања во безбедноста на Firefox или механизмите за тестирање fuzz, така што наградите за пропусти во ноќните изданија ќе се плаќаат само ако проблемот е присутен во главното складиште повеќе од 4 дена и не е идентификуван од внатрешните проверки и вработени во Мозила.

Извор: opennet.ru