Mozilla Company tungkol sa pagpapalawak ng inisyatiba na magbayad ng mga cash reward para sa pagtukoy ng mga problema sa seguridad sa Firefox. Bilang karagdagan sa mga direktang kahinaan, sasaklaw na ngayon ang programang Bug Bounty pag-bypass sa mga mekanismo sa browser na pumipigil sa mga pagsasamantala na gumana.
Kasama sa mga naturang mekanismo ang isang sistema para sa paglilinis ng mga fragment ng HTML bago gamitin sa isang magandang konteksto, pagbabahagi ng memory para sa mga DOM node at mga string/ArrayBuffers, pagbabawal sa eval() sa konteksto ng system at proseso ng magulang, paglalapat ng mahigpit na mga paghihigpit sa CSP (Content Security Policy) sa serbisyo " tungkol saβ mga pahina :", ipinagbabawal ang paglo-load ng mga pahina maliban sa "chrome://", "resource://" at "about:" sa proseso ng magulang, pagbabawal sa pagpapatupad ng external na JavaScript code sa proseso ng magulang, pag-bypass sa pribilehiyo mga mekanismo ng paghihiwalay (ginamit upang buuin ang interface browser) at walang pribilehiyong JavaScript code. Ang isang halimbawa ng isang error na magiging kwalipikado para sa pagbabayad ng isang bagong sahod ay: pagsuri para sa eval() sa mga thread ng Web Worker.
Sa pamamagitan ng pagtukoy sa isang kahinaan at pag-bypass sa mga mekanismo ng proteksyon sa pagsasamantala, ang mananaliksik ay makakatanggap ng karagdagang 50% ng pangunahing gantimpala, para sa isang natukoy na kahinaan (halimbawa, para sa isang kahinaan sa UXSS na lumalampas sa , maaari kang makakuha ng $7000 kasama ang $3500 na bonus). Kapansin-pansin na ang pagpapalawak ng independiyenteng programa ng kompensasyon ng mananaliksik ay lumalabas sa backdrop ng kamakailang 250 empleyado ng Mozilla, kung saan ang buong Threat management team, na kasangkot sa pagtukoy at pagsusuri ng mga insidente, pati na rin Security team.
Bilang karagdagan, iniulat na ang mga patakaran para sa paglalapat ng programa ng bounty sa mga kahinaan na natukoy sa gabi-gabing mga build ay nagbago. Napansin na ang mga ganitong kahinaan ay madalas na agad na nade-detect sa panahon ng panloob na automated na pagsusuri at fuzzing testing. Ang mga ulat ng naturang mga bug ay hindi humahantong sa mga pagpapabuti sa seguridad ng Firefox o mga mekanismo ng pagsusuri ng fuzz, kaya ang mga gantimpala para sa mga kahinaan sa gabi-gabing mga build ay babayaran lamang kung ang problema ay naroroon sa pangunahing repositoryo nang higit sa 4 na araw at hindi natukoy ng internal mga tseke at mga empleyado ng Mozilla.
Pinagmulan: opennet.ru