Car-tech

Poteškoća HTML5 u vodećim preglednicima poziva pohranu neželjenih podataka

Web Programming - Computer Science for Business Leaders 2016

Web Programming - Computer Science for Business Leaders 2016
Anonim

Istraživač sigurnosti otkrio je prazninu u načinu implementacije standarda HTML5 web-pohrane u Google Chrome, Internet Explorer i preglednici Apple Safari koji bi mogli dopustiti zlonamjernim web mjestima da popunjavaju hard diskove posjetitelja s velikim količinama neplodnih podataka.

HTML5 web pohrana definira API (sučelje za programiranje aplikacija) koje web mjestima omogućuje pohranu više podataka unutar preglednika nego što je to bilo moguće pomoću kolačića koji su ograničeni na veličinu od najviše 4KB.

LocalStorage atribut API-ja za web-pohranu omogućuje web-lokacijama pohranu između 2.5 MB i 10 MB B podataka po nazivu podrijetla - ovisno o upotrijebljenom pregledniku.

[Dodatno čitanje: Kako ukloniti zlonamjerni softver s računala sa sustavom Windows]

Međutim, standard Web pohrane upozorava da neke web stranice mogu pokušati zaobići ograničenje pohrane pohranjivanjem podataka iz njihovih poddomena. "Korisnički agenti trebaju se zaštititi od web mjesta koje pohranjuju podatke pod izvornim podacima drugih pridruženih web lokacija, npr. Pohranjivanje do ograničenja u a1.example.com, a2.example.com, a3.example.com itd., Zaobilazeći glavnu primjernu pohranu example.com

"Chrome, Safari i IE trenutačno ne provode takvu ograničenu pohranu", "istraživač web stranica i istraživač sigurnosti Feross Aboukhadijeh izjavio je u jednom izdanju. nedavni blog post. Budući da vlasnici web stranica mogu generirati poddomene po volji, oni mogu iskoristiti ovu prazninu kako bi učinkovito stekli neograničen prostor za pohranu na računalima posjetitelja, rekao je.

Aboukhadijeh je stvorio web stranicu za provjeru koncepta koja koristi taj trik kako bi popunio tvrdi disk posjetitelja pogoni s neželjenim podacima. Web mjesto testirano je s Chromeom 25, Safarijem 6, Operaom 12 i IE 10 te je bilo sposobno pisati 1 GB podataka svakih 16 sekundi na Macbook Pro opremljen čvrstom disku (SSD), rekao je istraživač.

"Za 32-bitne preglednike, kao što je Chrome, cijeli se preglednik može srušiti prije nego što se napuni disk", rekao je Aboukhadijeh. Napad ne radi u Firefoxu jer "Firefoxova implementacija localStoragea je pametnija", rekao je.

Chromeovi razvojni programeri priznali su problem u unosu u Chromeovom programu za praćenje bugova, ali pronalaženje popravka možda neće biti lako. Prema nekim ljudima koji su uključeni u raspravu, ograničavanje prostora lokalnog prostora za poddomene u odnosu na ograničenje za njihove domene može stvoriti probleme na web stranicama kao što su Github stranice ili Appspot koje korisnicima omogućuju stvaranje vlastitih poddomena.