「Mozilla Foundationがセキュリティホール発見に懸賞金」記事へのコメント

深刻....

[Anonymous Coward]

なにを持って深刻なセキュリティホールとするのだろう。

Re:深刻....

[nepherptau (23656)]

えー、窓の杜の記事 [impress.co.jp]によれば、

発見者がメールで脆弱性を報告すると、同団体のスタッフがその内容の深刻度を判断して
本プログラムの対象になるかを決定するという。このときの深刻度は、未報告の脆弱性であること、
同団体が公開した各ソフトの最新バージョンに存在する脆弱性であること、
他ソフト（Javaやプラグインなど）の影響を受けて発生する脆弱性でないこと、
発見者によって記述されたコードが脆弱性に含まれていないこと、
同団体の職員でないことの合計5項目で判断される。また、
同内容の脆弱性を複数人が報告した場合、500米ドルを分割する形になるとのこと。

とのことです。ちゃんと問題は検証されるので心配はないようですね。

Re:深刻....

[itiba (10155)]

同内容の脆弱性を複数人が報告した場合、500米ドルを分割する形になるとのこと。

ということは、
「ユーザのために発見と同時に公開します」
って人がほかの人に、懸賞金渡さないため脆弱性を報告して黙ってるってことになったりするのかな。
そういう姿勢の是非は問わないけれども、作ってる側から見ればそうなってくれるとうれしいのかもしれないけどたぶんそこまではかんがえてないだろうな。

# まぁそういう人が懸賞金目当てってことはそう多くはないか・・

Re:深刻....

[typer (9666)]

窓の杜の記事だと、あげられている5項目によって「深刻度」が決められるように読めますが、これは報奨金を受け取るのに必要な深刻度以外の条件ってことらしいです。
詳しくはセキュリティバグ報奨金制度 [mozilla.gr.jp]まで。
で、深刻度ですが、重大(critical)なものが対象で、具体的には任意のコードが実行できてしまうとか、パスワードやクレジットカードの番号等が漏洩する場合とのこと。
詳しくはセキュリティバグ報奨金制度 FAQ [mozilla.gr.jp]まで。