• IT-Karriere:
  • Services:

Address Sanitizer: Mozilla vergibt Bug Bountys für automatisierte Tests

Mit einer speziellen Variante der Nightly Builds des Firefox-Browses können Nutzer vollständig automatisiert nach Speicherfehlern suchen. Für damit eingereichte Berichte will Mozilla sogar Belohnungen verteilen.

Artikel veröffentlicht am ,
Mozilla verteilt Belohnungen für automatisierte Bug Reports.
Mozilla verteilt Belohnungen für automatisierte Bug Reports. (Bild: Mathias Appel/CC0 1.0)

Mit dem Compilerwerkzeug Address Sanitizer (Asan) sucht Mozilla, wie viele anderen Unternehmen auch, mehr oder weniger automatisiert nach speziellen Speicherfehlern in seinem Firefox-Browser. Das bringe dem Team vor allem bei Use-After-Free-Fehlern deutlich mehr als bei den in Bug Reports sonst üblichen Absturzberichten, schreibt der Mozilla-Angestellte Christian Holler im Security-Blog des Unternehmens. Deshalb bietet das Team nun auch eine Variante des Firefox Nightly, in der Asan aktiviert ist und mit der Bug Bountys eingesammelt werden können.

Stellenmarkt
  1. Allianz Deutschland AG, München Unterföhring
  2. Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz

Das Team hat im Rahmen des Asan-Nightly-Projekts den Browser zusätzlich dazu noch mit einem speziellen Addon ausgestattet, das die Asan-Berichte analog zu den bisher genutzten Absturzberichten an Mozilla überträgt. "Wir haben dieses Projekt gestartet, um Fehler in der freien Wildbahn zu finden und dann den Asan-Fehlerbericht zu nutzen, um das Problem zu identifizieren und zu beheben, obwohl es möglicherweise nicht reproduzierbar ist", schreibt Holler zur Motivation des Projekts.

Bisher stehen die dazu notwendigen Asan-Nightly-Builds nur für Linux zur Verfügung, das Team arbeite aber aktiv an der Unterstützung für Windows und MacOS, die noch folgen soll. Zur Nutzung empfiehlt Holler darüber hinaus mindestens 16 GByte RAM, da Asan prinzipbedingt sehr viel freigegebenen Speicher zunächst selbst speichert, um so Use-After-Free-Lücken überhaupt zu erkennen. Der Browser sollte dann auch ein- oder zweimal täglich neugestartet werden, um den Arbeitsspeicher wieder freizugeben.

Bug Bountys für automatisierte Berichte

Experimentierfreudige Tester, die sich für die Nutzung von Asan-Nightly-Builds entscheiden, können damit am Bug-Bounty-Programm von Mozilla teilnehmen. Die über das Addon übertragenen automatisierten Asan-Berichte werden dabei genau so behandelt wie ein individueller Bericht eines Beitragenden im Bug Tracker von Mozilla.

Sollte es sich bei dem übermittelten Bericht also um eine Sicherheitslücke handeln, die das Team beheben kann, gibt es dafür eine kleine finanziellen Belohnung. Nutzer müssen dafür lediglich die üblichen Regeln des Bug-Bounty-Programms beachten und über eine Einstellungsoption im Browser ihre E-Mail-Addresse hinterlegen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (u. a. The Elder Scrolls: Skyrim VR für 26,99€, Wolfenstein 2: The New Colossus für 11€, Prey...
  2. 12,99€

Folgen Sie uns
       


Core i7-1185G7 (Tiger Lake) im Test: Gut gebrüllt, Intel
Core i7-1185G7 (Tiger Lake) im Test
Gut gebrüllt, Intel

Dank vier äußerst schneller CPU-Kerne und überraschend flotter iGPU gibt Tiger Lake verglichen zu AMDs Ryzen 4000 eine gute Figur ab.
Ein Test von Marc Sauter

  1. Tiger Lake Überblick zu Intels 11th-Gen-Laptops
  2. Project Athena 2.0 Evo-Ultrabooks gibt es nur mit Windows 10
  3. Ultrabook-Chip Das kann Intels Tiger Lake

Beoplay H95 im Test: Toller Klang, aber für 800 Euro zu schwache ANC-Leistung
Beoplay H95 im Test
Toller Klang, aber für 800 Euro zu schwache ANC-Leistung

Der Beoplay H95 ist ein ANC-Kopfhörer mit einem tollen Klang. Aber wer dafür viel Geld ausgibt, muss sich mit einigen Kompromissen abfinden.
Ein Test von Ingo Pakalski


    Crysis Remastered im Technik-Test: But can it run Crysis? Yes!
    Crysis Remastered im Technik-Test
    But can it run Crysis? Yes!

    Die PC-Version von Crysis Remastered wird durch die CPU limitiert, dafür ist die Sichtweite extrem und das Hardware-Raytracing aktiv.
    Ein Bericht von Marc Sauter

    1. Systemanforderungen Crysis Remastered reicht GTX 1660 Ti
    2. Crytek Crysis Remastered erscheint mit Raytracing
    3. Crytek Crysis Remastered nach Kritik an Trailer verschoben

      •  /