Mozilla rozšírila program odmien za odhaľovanie zraniteľností

Spoločnosť Mozilla vyhlásila o rozšírení iniciatívy na vyplácanie finančných odmien za odhaľovanie problémov s bezpečnosťou vo Firefoxe. Okrem samotných zraniteľností bude program Bug Bounty teraz pokrývať aj metódy obehu existujúcich mechanizmov v prehliadači, ktoré bránia fungovaniu exploitov.

Medzi takéto mechanizmy patrí systém čistenia fragmentov HTML pred ich použitím v zvýhodnenom kontexte, delenie pamäte pre uzly DOM a reťazce/ArrayBuffers, zákaz eval() v systémovom kontexte a rodičovskom procese, uplatnenie prísnych obmedzení CSP (Content Security Policy) na služobných stránkach 'about:', zákaz načítania v rodičovskom procese stránok, ktoré nie sú 'chrome://', 'resource://' a 'about:', zákaz vykonávania externého JavaScript kódu v rodičovskom procese, obchádzanie mechanizmov delenia privilegovaného (používaného na vytváranie používateľského rozhrania prehliadača) a neprivilegovaného JavaScriptu. Ako príklad chyby, ktorá spadá pod vyplatenie novej odmeny, sa uvádza zabudnutá kontrola na eval() v vláknach Web Worker-ov.

Pri odhalení zraniteľnosti a obchode ochranných mechanizmov pred exploitmi môže výskumník získať dodatočne 50% z základnej odmeny, priznávanej za odhalenú zraniteľnosť (napríklad za UXSS zraniteľnosť, ktorá obchádza mechanizmus HTML Sanitizer, možno získať 7000 dolárov plus príspevok vo výške 3500 dolárov). Je pozoruhodné, že rozšírenie programu vyplácania odmien nezávislým výskumníkom sa uskutočnilo v súvislosti s nedávnym prepúšťaním 250 zamestnancov Mozilly, do ktorého spadala celá tím reakcie na hrozby (Threat management team), ktorý sa zaoberal odhaľovaním a analýzou incidentov, ako aj časť tímu Security team.

Okrem toho sa hlásia zmeny v pravidlách zavádzania programu odmien za zraniteľnosti zistené v nočných zostavách. Uvádza sa, že takéto zraniteľnosti sa často okamžite odhaľujú počas interných automatizovaných kontrol a fuzzing testovania. Správy o takýchto chybách neprispievajú k zlepšeniu bezpečnosti Firefoxu a zdokonaľovaniu mechanizmov fuzzing testovania, preto odmeny za zraniteľnosti v nočných zostavách budú vyplácané len vtedy, ak problém existuje v hlavnom repozitári viac ako 4 dni a zostal nezistený internými kontrolami a zamestnancami Mozilly.

Zdroj: opennet.ru