Car-tech

Defecțiune HTML5 în browsere de top invită stocarea de date junk

Create CSS Animations Easily with this Chrome Extension

Create CSS Animations Easily with this Chrome Extension
Anonim

Un cercetător de securitate a găsit o lacună în modul în care standardul HTML5 Web Storage este implementat în Google Chrome, Internet Explorer și browsere Apple Safari care ar putea permite site-urilor rău intenționate să umple unitățile HDD ale vizitatorilor cu cantități mari de date junk.

HTML5 Web Storage definește un API (interfață de programare a aplicațiilor) care permite site-urilor web să stocheze mai multe date în browsere decât era posibil anterior prin utilizarea cookie-urilor care sunt limitate la o dimensiune maximă de 4KB

Atributul localStorage al API-ului Web Storage permite site-urilor web să stocheze între 2,5MB și 10M B de date pe nume de domeniu de origine - în funcție de browserul utilizat. Google Chrome impune o limită de 2 MB, Mozilla Firefox o limită de 5 MB și Internet Explorer o limită de 10 MB.

[Citirea suplimentară: Cum să eliminați programele malware de pe PC-ul Windows]

Cu toate acestea, avertizează că unele site-uri web ar putea încerca să eludeze limita de stocare stocând date din subdomeniile lor. "Agenții utilizator trebuie să protejeze împotriva stocării de către alte site-uri a unor date aflate în alte site-uri afiliate, de exemplu, stocarea până la limită în a1.example.com, a2.example.com, a3.example.com etc, ocolind depozitul principal example.com limită ", conform standardului, publicat de Consorțiul World Wide Web.

" Chrome, Safari și IE nu implementează în prezent nici o limită de stocare a site-ului "afiliat", a declarat cercetătorul Web și cercetătorul de securitate, Feross Aboukhadijeh recenta postare pe blog. Deoarece proprietarii de site-uri web pot genera subdomenii după voință, aceștia pot exploata această lacună pentru a obține spațiu nelimitat de stocare pe computerele vizitatorilor, a afirmat el.

Aboukhadijeh a creat un site de tip proof-of-concept care folosește acest truc pentru a umple hard disk-ul vizitatorilor unități cu date junk. Site-ul a fost testat cu Chrome 25, Safari 6, Opera 12 si IE 10 si a fost capabil sa scrie 1GB de date la fiecare 16 secunde pe un Macbook Pro echipat cu un SSD, a spus cercetatorul

"Pentru browsere pe 32 de biți, cum ar fi Chrome, întreg browserul se poate prăbuși înainte ca discul să fie umplut", a spus Aboukhadijeh. Atacul nu funcționează în Firefox pentru că "implementarea localStorage de către Firefox este mai inteligentă", a spus el.

Dezvoltatorii Chrome au recunoscut problema într-o intrare pe dispozitivul de urmărire a erorilor în Chrome, însă găsirea unei remedii poate să nu fie ușoară. Potrivit unor persoane implicate în discuție, limitarea spațiului localStorage pentru subdomenii în raport cu limita pentru domeniile lor respective ar putea crea probleme pe site-uri precum Github Pages sau Appspot care oferă utilizatorilor subdomenii proprii pentru a crea proiecte.