Address Sanitizer: Mozilla vergibt Bug Bountys für automatisierte Tests

Mit einer speziellen Variante der Nightly Builds des Firefox-Browses können Nutzer vollständig automatisiert nach Speicherfehlern suchen. Für damit eingereichte Berichte will Mozilla sogar Belohnungen verteilen.

Artikel veröffentlicht am 20. Juli 2018, 14:40 Uhr, Sebastian Grüner

Mozilla verteilt Belohnungen für automatisierte Bug Reports. (Bild: Mathias Appel/CC0 1.0)

Mit dem Compilerwerkzeug Address Sanitizer (Asan) sucht Mozilla, wie viele anderen Unternehmen auch, mehr oder weniger automatisiert nach speziellen Speicherfehlern in seinem Firefox-Browser. Das bringe dem Team vor allem bei Use-After-Free-Fehlern deutlich mehr als bei den in Bug Reports sonst üblichen Absturzberichten, schreibt der Mozilla-Angestellte Christian Holler im Security-Blog des Unternehmens. Deshalb bietet das Team nun auch eine Variante des Firefox Nightly, in der Asan aktiviert ist und mit der Bug Bountys eingesammelt werden können.

Das Team hat im Rahmen des Asan-Nightly-Projekts den Browser zusätzlich dazu noch mit einem speziellen Addon ausgestattet, das die Asan-Berichte analog zu den bisher genutzten Absturzberichten an Mozilla überträgt. "Wir haben dieses Projekt gestartet, um Fehler in der freien Wildbahn zu finden und dann den Asan-Fehlerbericht zu nutzen, um das Problem zu identifizieren und zu beheben, obwohl es möglicherweise nicht reproduzierbar ist", schreibt Holler zur Motivation des Projekts.

Bisher stehen die dazu notwendigen Asan-Nightly-Builds nur für Linux zur Verfügung, das Team arbeite aber aktiv an der Unterstützung für Windows und MacOS, die noch folgen soll. Zur Nutzung empfiehlt Holler darüber hinaus mindestens 16 GByte RAM, da Asan prinzipbedingt sehr viel freigegebenen Speicher zunächst selbst speichert, um so Use-After-Free-Lücken überhaupt zu erkennen. Der Browser sollte dann auch ein- oder zweimal täglich neugestartet werden, um den Arbeitsspeicher wieder freizugeben.

Bug Bountys für automatisierte Berichte

Experimentierfreudige Tester, die sich für die Nutzung von Asan-Nightly-Builds entscheiden, können damit am Bug-Bounty-Programm von Mozilla teilnehmen. Die über das Addon übertragenen automatisierten Asan-Berichte werden dabei genau so behandelt wie ein individueller Bericht eines Beitragenden im Bug Tracker von Mozilla.

Sollte es sich bei dem übermittelten Bericht also um eine Sicherheitslücke handeln, die das Team beheben kann, gibt es dafür eine kleine finanziellen Belohnung. Nutzer müssen dafür lediglich die üblichen Regeln des Bug-Bounty-Programms beachten und über eine Einstellungsoption im Browser ihre E-Mail-Addresse hinterlegen.