A Mozilla ampliou o programa de recompensas por identificar vulnerabilidades

A empresa Mozilla anunciou sobre a expansão da iniciativa de pagamento em dinheiro por identificar problemas de segurança no Firefox. Além das vulnerabilidades em si, o programa Bug Bounty agora também abrangerá métodos de contorno dos mecanismos existentes no navegador que impedem a execução de exploits.

Os mecanismos incluem o sistema de limpeza de fragmentos HTML antes do uso em contextos privilegiados, a separação de memória para nós DOM e strings/ArrayBuffers, a proibição de eval() no contexto do sistema e no processo pai, a aplicação de restrições rigorosas de CSP (Content Security Policy) às páginas de serviço 'about:', a proibição de carregar páginas no processo pai que sejam diferentes de 'chrome://', 'resource://' e 'about:', a proibição da execução de código JavaScript externo no processo pai e a contornagem dos mecanismos de separação de código JavaScript privilegiado (usado para construir a interface do navegador) e não privilegiado. Como exemplo de um erro que se qualifica para pagamento de uma nova recompensa, temos a verificação esquecida no eval() em workers da Web.

Ao descobrir uma vulnerabilidade e contornar os mecanismos de proteção contra exploits, o pesquisador poderá receber 50% adicionais da recompensa base, concedida por uma vulnerabilidade descoberta (por exemplo, por uma vulnerabilidade UXSS que contorna o mecanismo HTML Sanitizer, será possível receber $7000 mais um bônus de $3500). É notável que a expansão do programa de recompensas feita por pesquisadores independentes ocorreu em meio a recentes demissões de 250 funcionários da Mozilla, que afetou toda a equipe de gerenciamento de ameaças (Threat management team), que se ocupava da identificação e análise de incidentes, assim como parte da equipe de Segurança. Equipe de segurança.

Além disso, houve uma mudança nas regras de aplicação do programa de recompensas para vulnerabilidades identificadas em versões noturnas. Observa-se que essas vulnerabilidades frequentemente são descobertas imediatamente durante verificações automatizadas internas e testes de fuzzing. Relatórios sobre esses erros não resultam em melhorias na segurança do Firefox e no aprimoramento dos mecanismos de teste de fuzzing; portanto, recompensas por vulnerabilidades em versões noturnas serão pagas apenas se o problema estiver presente no repositório principal por mais de 4 dias e não tiver sido identificado nas verificações internas e pelos funcionários da Mozilla.

Fonte: opennet.ru