Car-tech

Chyba jazyka HTML5 v předních prohlížečích zvyklá na ukládání nevyžádaných dat

Leap Motion SDK

Leap Motion SDK
Anonim

Výzkumný pracovník v oblasti bezpečnosti nalezl mezera ve způsobu implementace standardu HTML pro webový storage v prohlížeči Google Chrome, Prohlížečů Internet Explorer a prohlížeče Apple Safari, které by umožnily škodlivým webovým stránkám zaplnit velké množství nevyžádaných dat.

Webová úložiště HTML5 definuje rozhraní API (aplikační programovací rozhraní), které umožňuje internetovým stránkám ukládat více dat do prohlížečů než bylo dříve možné pomocí souborů cookie omezených na velikost maximálně 4 kB

Atribut localStorage rozhraní API Web Storage umožňuje webovým stránkám ukládat mezi 2,5MB a 10M B dat podle původního názvu domény - v závislosti na použitém prohlížeči. Google Chrome vynucuje limit 2 MB, Mozilla Firefox je limit 5 MB a Internet Explorer limit 10 MB

[Další informace: Jak odstranit malware z počítače se systémem Windows]

Nicméně standard webového úložiště varuje, že některé webové stránky se mohou pokusit obejít limit úložiště uložením dat z jejich subdomén. "Uživatelské agenty by se měly chránit proti uložení dat pod původními jinými přidruženými stránkami, např. Ukládání do limitu v a1.example.com, a2.example.com, a3.example.com apod., Obcházení hlavního úložiště example.com "Chrome, Safari a IE v současné době neuplatňují žádný takový limit pro ukládání" přidružených webů "," řekl vývojář a bezpečnostní výzkumník Feross Aboukhadijeh ve svém stanovisku. poslední blogový příspěvek. Vzhledem k tomu, že vlastníci webových stránek mohou vytvářet subdomény podle libosti, mohou využít tuto mezera a efektivně získat neomezený úložný prostor v počítačích návštěvníků, řekl.

Aboukhadijeh vytvořil webovou stránku, která používá tento trik k vyplnění pevného disku návštěvníků disky s nevyžádanými daty. Stránka byla testována pomocí prohlížečů Chrome 25, Safari 6, Opera 12 a IE 10 a schopnost zaznamenávat 1 GB dat každých 16 sekund na Macbook Pro vybaveném SSD, tvrdí výzkumník.

"U 32bitových prohlížečů, jako je Chrome, může dojít k selhání celého prohlížeče před tím, než bude disk naplněn," řekl Aboukhadijeh. Tento útok nefunguje ve Firefoxu, protože "implementace firefoxu localStorage je chytřejší," řekl.

Vývojáři Chrome potvrdili tento problém v záznamu v nástroji pro sledování chyb Chrome, ale nalezení opravy nemusí být snadné. Podle některých lidí zapojených do diskuse může omezení místního prostoru pro subdomény ve vztahu k limitu jejich příslušných domén vytvářet problémy na webech jako Github Pages nebo Appspot, které uživatelům poskytují své vlastní subdomény k vytváření projektů.