Mozilla har utökat sitt program för belöningar för att upptäcka sårbarheter

Företaget Mozilla tillkännagav om utvidgningen av initiativet för att betala kontantbelöningar för att identifiera säkerhetsproblem i Firefox. Förutom sårbarheter kommer Bug Bounty-programmet nu även att täcka metoder för att kringgå befintliga mekanismer i webbläsaren som motverkar funktionaliteten hos exploits.

Bland sådana mekanismer finns systemet för att rensa HTML-fragment innan de används i ett privilegierat sammanhang, minnesuppdelning för DOM-noder och strängar/ArrayBuffers, förbud mot eval() i systemkontexten och moderprocessen, tillämpning av strikta CSP (Content Security Policy)-begränsningar på servicematerialet 'about:', förbud mot att ladda sidor i moderprocessen som skiljer sig från 'chrome://', 'resource://' och 'about:', förbud mot att köra extern JavaScript-kod i moderprocessen, samt kringgå mekanismer för uppdelning av privilegierad (används för att bygga webbläsarens gränssnitt) och icke-privilegerad JavaScript-kod. Som exempel på ett fel som faller under det nya belöningssystemet nämns glömd kontroll av eval() i Web Worker-trådar.

Vid upptäckten av en sårbarhet och kringgående av skyddsmekanismer mot exploits kan forskaren få 50 % ytterligare av det grundläggande beloppet, som beviljas för den identifierade sårbarheten (till exempel för en UXSS-sårbarhet som kringgår mekanismen HTML Sanitizer, kan man få $7000 plus en bonus på $3500). Det är anmärkningsvärt att utvidgningen av belöningsprogrammet för oberoende forskare har ägt rum mot bakgrund av den senaste avskedningen av 250 anställda på Mozilla, vilket inkluderade hela hotrespons-teamet (Threat management team), som hanterade identifieringen och analysen av incidenter, samt en del av teamet Security team. Säkerhetsteam.

Dessutom rapporteras det om en förändring av reglerna för tillämpningen av belöningar för sårbarheter som upptäckts i nattbyggen. Det observeras att sådana sårbarheter ofta upptäcks omedelbart under interna automatiserade kontroller och fuzzing-testning. Rapportering av sådana fel leder inte till förbättring av säkerheten i Firefox eller utvecklingen av fuzzing-testningsmekanismer, därför kommer belöningar för sårbarheter i nattbyggen endast att betalas ut om problemet har funnits i huvudrepo i mer än 4 dagar och inte har upptäckts av interna kontroller och anställda på Mozilla.

Källa: opennet.ru