Mozilla ने त्याच्या असुरक्षितता बाउंटी प्रोग्रामचा विस्तार केला आहे

मोझिला कंपनी घोषणा केली फायरफॉक्समधील सुरक्षा समस्या ओळखण्यासाठी रोख बक्षिसे देण्याच्या पुढाकाराचा विस्तार करण्याबद्दल. थेट असुरक्षा व्यतिरिक्त, बग बाउंटी प्रोग्राम आता कव्हर करेल पद्धती ब्राउझरमधील यंत्रणांना बायपास करणे जे शोषणांना कार्य करण्यापासून प्रतिबंधित करते.

अशा यंत्रणेमध्ये विशेषाधिकारप्राप्त संदर्भात वापरण्यापूर्वी HTML तुकड्यांची साफसफाई करणे, DOM नोड्स आणि स्ट्रिंग्स/ArrayBuffers साठी मेमरी सामायिक करणे, सिस्टम संदर्भ आणि पालक प्रक्रियेमध्ये eval() प्रतिबंधित करणे, सेवेवर कठोर CSP (सामग्री सुरक्षा धोरण) प्रतिबंध लागू करणे समाविष्ट आहे. "पृष्‍ठांबद्दल :", "chrome://", "resource://" आणि "about:" व्यतिरिक्त इतर पृष्ठे लोड करण्यास प्रतिबंधित करणे, विशेषाधिकार बायपास करून, पालक प्रक्रियेमध्ये बाह्य JavaScript कोडच्या अंमलबजावणीस प्रतिबंध करणे पृथक्करण यंत्रणा (इंटरफेस ब्राउझर तयार करण्यासाठी वापरली जाते) आणि अनप्रिव्हिलेज्ड JavaScript कोड. त्रुटीचे उदाहरण जे नवीन मोबदला देण्यास पात्र ठरेल: विसरले वेब वर्कर थ्रेड्समध्ये eval() तपासत आहे.

असुरक्षितता ओळखून आणि शोषण संरक्षण यंत्रणेला बायपास करून, संशोधक मूळ पुरस्काराच्या अतिरिक्त 50% प्राप्त करण्यास सक्षम असेल, पुरस्कृत ओळखलेल्या भेद्यतेसाठी (उदाहरणार्थ, UXSS भेद्यतेसाठी जी बायपास करते एचटीएमएल सॅनिटायझर, तुम्हाला $7000 अधिक $3500 बोनस मिळू शकतात). हे लक्षात घेण्यासारखे आहे की स्वतंत्र संशोधक नुकसान भरपाई कार्यक्रमाचा विस्तार अलीकडील काळाच्या पार्श्वभूमीवर आला आहे. टाळेबंदी 250 Mozilla कर्मचारी, ज्या अंतर्गत दाबा संपूर्ण थ्रेट मॅनेजमेंट टीम, जी घटना ओळखण्यात आणि विश्लेषण करण्यात गुंतलेली होती, तसेच संघाचा भाग सुरक्षा पथक.

याव्यतिरिक्त, असे नोंदवले जाते की रात्रीच्या बिल्डमध्ये ओळखल्या जाणार्‍या भेद्यतेसाठी बाउंटी प्रोग्राम लागू करण्याचे नियम बदलले आहेत. हे लक्षात घेतले जाते की अशा असुरक्षा अनेकदा अंतर्गत स्वयंचलित तपासण्या आणि फझिंग चाचणी दरम्यान लगेच आढळतात. अशा बगच्या अहवालामुळे फायरफॉक्स सुरक्षा किंवा फझ चाचणी यंत्रणेत सुधारणा होत नाहीत, त्यामुळे रात्रीच्या बिल्डमधील असुरक्षिततेसाठी बक्षिसे फक्त जर मुख्य भांडारात 4 दिवसांपेक्षा जास्त काळ उपस्थित असतील आणि अंतर्गत द्वारे ओळखली गेली नसतील तरच दिली जातील. चेक आणि Mozilla कर्मचारी.

स्त्रोत: opennet.ru