موزیلا برنامه فضل آسیب پذیری را گسترش می دهد

موزیلا اعلام کرد که در حال توسعه ابتکار عمل برای پرداخت پاداش برای شناسایی مسائل امنیتی در فایرفاکس است. علاوه بر آسیب پذیری های خود ، برنامه Bug Bounty اکنون روش های دور زدن مکانیزم های موجود در مرورگر را نیز که مانع از سوءاستفاده ها می شود ، پوشش می دهد.

چنین مکانیسم هایی شامل سیستم تمیز کردن قطعات HTML قبل از استفاده در یک زمینه ممتاز ، به اشتراک گذاری حافظه برای گره ها و رشته ها DOM / ArrayBuffers ، عدم اجازه ارزیابی () در زمینه سیستم و در فرآیند والدین ، ​​اعمال محدودیت های سخت CSP (سیاست امنیت محتوا) است. صفحات "درباره:" ، ممنوع کردن بارگذاری در فرآیند والدین صفحات غیر از "chrome: //" ، "منبع: //" و "about:" ، اجازه اجرای کد جاوا اسکریپت خارجی در فرایند والدین ، ​​جلوگیری از مکانیسم های اشتراک گذاری ممتاز (استفاده شده برای ساخت رابط مرورگر) و کد جاوا اسکریپت غیر شخصی. چک فراموش شده برای ارزیابی () در موضوعات وب کارگر به عنوان نمونه خطایی ارائه شده است که واجد شرایط دریافت پاداش جدید است.

با شناسایی یک آسیب پذیری و دور زدن مکانیسم های محافظت از بهره برداری ، یک محقق می تواند 50٪ اضافی از پاداش پایه اعطا شده برای آسیب پذیری شناسایی شده را دریافت کند (به عنوان مثال ، برای یک آسیب پذیری UXSS که از مکانیسم HTML Sanitizer عبور می کند ، می تواند 7000 دلار به علاوه 3500 دلار حق بیمه نیز دریافت کند). جالب اینجاست که گسترش برنامه مستقل فضل و پژوهشگر مستقل در برابر زمینه اخراج های اخیر از 250 کارمند موزیلا قرار می گیرد ، که تحت تأثیر قرار گرفت [کل] 19159005] کل تیم مدیریت تهدید که درگیر شناسایی و تجزیه و تحلیل حوادث است و همچنین بخشی از تیم امنیتی …

علاوه بر این ، تغییر در قوانین اعمال برنامه فضل به آسیب پذیری های موجود در ساختمان های شبانه گزارش شده است. خاطرنشان می شود که چنین آسیب پذیری ها اغلب بلافاصله در طی مراحل کنترل خودکار داخلی و آزمایش فازی کشف می شوند. این گزارشات مربوط به اشکالات باعث بهبود امنیت Firefox یا مکانیسم های تست فازی نمی شود ، بنابراین ساختهای شبانه فقط درصورتی پاداش می گیرند که مشکل بیش از 4 روز در مخازن اصلی وجود داشته باشد و توسط چک های داخلی و کارمندان موزیلا مشخص نشده باشد.