Address Sanitizer: Mozilla vergibt Bug Bountys für automatisierte Tests

Mit einer speziellen Variante der Nightly Builds des Firefox-Browses können Nutzer vollständig automatisiert nach Speicherfehlern suchen. Für damit eingereichte Berichte will Mozilla sogar Belohnungen verteilen.

Artikel veröffentlicht am ,
Mozilla verteilt Belohnungen für automatisierte Bug Reports.
Mozilla verteilt Belohnungen für automatisierte Bug Reports. (Bild: Mathias Appel/CC0 1.0)

Mit dem Compilerwerkzeug Address Sanitizer (Asan) sucht Mozilla, wie viele anderen Unternehmen auch, mehr oder weniger automatisiert nach speziellen Speicherfehlern in seinem Firefox-Browser. Das bringe dem Team vor allem bei Use-After-Free-Fehlern deutlich mehr als bei den in Bug Reports sonst üblichen Absturzberichten, schreibt der Mozilla-Angestellte Christian Holler im Security-Blog des Unternehmens. Deshalb bietet das Team nun auch eine Variante des Firefox Nightly, in der Asan aktiviert ist und mit der Bug Bountys eingesammelt werden können.

Das Team hat im Rahmen des Asan-Nightly-Projekts den Browser zusätzlich dazu noch mit einem speziellen Addon ausgestattet, das die Asan-Berichte analog zu den bisher genutzten Absturzberichten an Mozilla überträgt. "Wir haben dieses Projekt gestartet, um Fehler in der freien Wildbahn zu finden und dann den Asan-Fehlerbericht zu nutzen, um das Problem zu identifizieren und zu beheben, obwohl es möglicherweise nicht reproduzierbar ist", schreibt Holler zur Motivation des Projekts.

Bisher stehen die dazu notwendigen Asan-Nightly-Builds nur für Linux zur Verfügung, das Team arbeite aber aktiv an der Unterstützung für Windows und MacOS, die noch folgen soll. Zur Nutzung empfiehlt Holler darüber hinaus mindestens 16 GByte RAM, da Asan prinzipbedingt sehr viel freigegebenen Speicher zunächst selbst speichert, um so Use-After-Free-Lücken überhaupt zu erkennen. Der Browser sollte dann auch ein- oder zweimal täglich neugestartet werden, um den Arbeitsspeicher wieder freizugeben.

Bug Bountys für automatisierte Berichte

Experimentierfreudige Tester, die sich für die Nutzung von Asan-Nightly-Builds entscheiden, können damit am Bug-Bounty-Programm von Mozilla teilnehmen. Die über das Addon übertragenen automatisierten Asan-Berichte werden dabei genau so behandelt wie ein individueller Bericht eines Beitragenden im Bug Tracker von Mozilla.

Sollte es sich bei dem übermittelten Bericht also um eine Sicherheitslücke handeln, die das Team beheben kann, gibt es dafür eine kleine finanziellen Belohnung. Nutzer müssen dafür lediglich die üblichen Regeln des Bug-Bounty-Programms beachten und über eine Einstellungsoption im Browser ihre E-Mail-Addresse hinterlegen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Politische Ansichten auf Google Drive
Letzte Generation mit Datenschutz-Super-GAU

Die Aktivisten der Letzten Generation haben Daten von Unterstützern mitsamt politischer Meinung und Gefängnisbereitschaft ungeschützt auf Google Drive gelagert.

Politische Ansichten auf Google Drive: Letzte Generation mit Datenschutz-Super-GAU
Artikel
  1. Nach Prämiensenkung: Weniger Marktanteil für Elektroautos 2023 erwartet
    Nach Prämiensenkung
    Weniger Marktanteil für Elektroautos 2023 erwartet

    Die Förderprämien für Elektroautos wurden gesenkt, was nach Ansicht der Autohersteller zu einem Rückgang des Marktanteils führen wird.

  2. Suchmaschine: Bing mit ChatGPT war für kurze Zeit online
    Suchmaschine
    Bing mit ChatGPT war für kurze Zeit online

    Microsoft will ChatGPT in die Suchmaschine Bing einbauen. Was uns erwartet, konnten einige Nutzer kurzfristig sehen.

  3. Verbraucherschutz: FTC soll Kartellklage gegen Amazon vorbereiten
    Verbraucherschutz
    FTC soll Kartellklage gegen Amazon vorbereiten

    Die US-Vebraucherschutzbehörde FTC soll an einer möglichen Klage gegen Amazon arbeiten. Grund sind Kartellvorwürfe gegen das Tech-Unternehmen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Roccat Magma + Burst Pro 59€ • Roccat Vulcan 121 89,99€ • Gigabyte B650 Gaming X AX 185,99€ • Alternate: Toshiba MG10 20 TB 299€ • Alternate Weekend Sale • MindStar: Fastro MS200 SSD 2TB 95€ • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • RAM-Tiefstpreise • PCGH Cyber Week [Werbung]
    •  /