Mozilla güvenlik açığı ödül programını genişletti

Mozilla Şirketi açıkladı Firefox'taki güvenlik sorunlarını tespit etmek için nakit ödül ödeme girişiminin genişletilmesi hakkında. Bug Bounty programı, doğrudan güvenlik açıklarının yanı sıra artık методы Tarayıcıdaki istismarların çalışmasını engelleyen mekanizmaları atlamak.

Bu tür mekanizmalar, ayrıcalıklı bir bağlamda kullanılmadan önce HTML parçalarını temizlemeye yönelik bir sistemi, DOM düğümleri ve dizeler/ArrayBuffer'lar için belleği paylaşmayı, sistem bağlamında ve ana süreçte eval() işlevini yasaklamayı, hizmete katı CSP (İçerik Güvenliği Politikası) kısıtlamaları uygulamayı içerir. about” sayfaları :", ana süreçte "chrome://", "resource://" ve "about:" dışındaki sayfaların yüklenmesini yasaklar, üst süreçte harici JavaScript kodunun yürütülmesini yasaklar, ayrıcalığı atlar ayırma mekanizmaları (arayüz tarayıcısını oluşturmak için kullanılır) ve ayrıcalıksız JavaScript kodu. Yeni bir ücretin ödenmesine hak kazandıracak bir hata örneği: unutulmuş Web Worker iş parçacıklarında eval() öğesinin kontrol edilmesi.

Bir güvenlik açığını tespit ederek ve istismar koruma mekanizmalarını atlayarak araştırmacı, temel ödülün %50'sini ek olarak alabilecektir. layık görülmek tanımlanmış bir güvenlik açığı için (örneğin, güvenlik açığını atlayan bir UXSS güvenlik açığı için) HTML Temizleyici7000$ artı 3500$ bonus alabilirsiniz). Bağımsız araştırmacı tazminat programının genişletilmesinin son dönemde yaşanan gelişmelerin arka planında gerçekleşmesi dikkat çekicidir. işten çıkarmalar 250 Mozilla çalışanı vurmak Olayların tanımlanması ve analiz edilmesinde görev alan tüm Tehdit yönetimi ekibinin yanı sıra takımın bir parçası Güvenlik Takımı.

Ayrıca nightly buildlerde tespit edilen zafiyetlere ödül programının uygulanmasına ilişkin kurallarda da değişiklik yapıldığı aktarılıyor. Bu tür güvenlik açıklarının genellikle dahili otomatik kontroller ve bulanıklaştırma testleri sırasında anında tespit edildiğine dikkat çekiliyor. Bu tür hataların raporları, Firefox güvenliğinde veya bulanık test mekanizmalarında iyileştirmelere yol açmaz; bu nedenle, gecelik kurulumlardaki güvenlik açıkları için ödüller, yalnızca sorunun ana depoda 4 günden uzun süredir mevcut olması ve dahili olarak tanımlanmaması durumunda ödenecektir. çekler ve Mozilla çalışanları.

Kaynak: opennet.ru