Mozilla-Foundation gibt Browser-Fuzzing-Tool heraus [Update]

Die Mozilla-Foundation hat drei Tools zur Verfügung gestellt, mit denen Entwickler und Anwender ihre Browser auf Schwachstellen bei der Verarbeitung von Webseiten testen können. Insbesondere will man denjenigen Anwendern Hilfestellung bei der Suche nach Fehlern geben, die regelmäßig die Nightly Builds, also die neuesten (möglicherweise instabilen) Entwicklerversionen herunterladen und testen. Die Mozilla-Foundation erhofft sich durch die Fehlerhinweise aus dieser Community mehr Sicherheit für den Webbrowser. Ursprünglich waren die Tools nur für Firefox und Mozilla gedacht, allerdings will der Entwickler Jesse Rudermann sie auch anderen Browser-Herstellern zur Verfügung stellen.

Das Fuzzing-Tool jsparsefuzz.js erzeugt fehlerhafte JavaScripts, um einen Absturz im Browser zu provozieren. Damit sollen sich potenzielle Sicherheitslücken frühzeitig erkennen lassen. Das Skript multi_timed_run.py steuert das Fuzzing-Tool, mit der ein Anwender mehrere Durchläufe unbeaufsichtigt ausführen kann. Das Fuzzing-Tool jsfunfuzz.js wird zwar von Rudermann in Bugzilla beschrieben, der Zugriff darauf bleibt vorerst aber dem Security-Team vorbehalten. Den anderen Browser-Herstellern will Rudermann das Tools ebenfalls zukommen lassen.

Die Idee, Browser mit Fuzzing-Tools auf Schwachstellen zu testen, ist nicht neu. Bereits Ende 2004 veröffentliche Michal Zalewski ein Tool, das kaputte HTML-Seiten erzeugte. Unter anderem fand er damit mehrere Buffer Overflows in verschiedenen Browsern.

Update
Die Opera-Entwickler sind offenbar bereits fleißig am Testen. Mit dem noch nicht für die Öffentlichkeit verfügbaren Tool jsfunfuzz.js haben sie bereits vier Abstürze provozieren können, wobei einer sicherheitsrelevant sein könnte.

Siehe dazu auch:

• Jesse's JavaScript compiler/decompiler fuzzer, Tools von Jesse Rudermann
• Die Axt im Walde - Einführung in Fuzzing-Tools, Hintergrundartikel auf heise Security

(dab)