Car-tech

Kesilapan HTML5 dalam pelayar utama mengundang penyimpanan data sampah

HTML5 - Web SQL

HTML5 - Web SQL
Anonim

Seorang penyelidik keselamatan telah menemui kelemahan bagaimana standard Penyimpanan Web HTML5 dilaksanakan di Google Chrome, Internet Explorer, dan pelayar Apple Safari yang boleh membenarkan laman web yang berniat jahat untuk mengisi pemacu cakera keras pelawat dengan sejumlah besar data sampah.

Penyimpanan Web HTML5 mentakrifkan API (antara muka pengaturcaraan aplikasi) yang membolehkan laman web menyimpan lebih banyak data di dalam pelayar daripada sebelumnya mungkin dengan menggunakan kuki, yang terhad kepada saiz maksimum 4KB.

Atribut localStorage API Penyimpanan Web membolehkan laman web untuk menyimpan antara 2.5MB dan 10M B data setiap nama domain asal-bergantung pada penyemak imbas yang digunakan. Google Chrome menguatkan batas sebanyak 2. MB, Mozilla Firefox had 5MB, dan Internet Explorer had 10MB.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

Walau bagaimanapun, standard Penyimpanan Web memberi amaran bahawa sesetengah laman web mungkin cuba memintas batas penyimpanan dengan menyimpan data dari subdomain mereka. "Ejen pengguna harus mengawasi laman-laman yang menyimpan data di bawah asal-usul laman web yang lain, misalnya menyimpan hingga batas dalam a1.example.com, a2.example.com, a3.example.com, dll, mengelakkan penyimpanan example.com utama "mengikut piawaian yang diterbitkan oleh World Wide Web Consortium.

" Chrome, Safari, dan IE pada masa ini tidak melaksanakan apa-apa had storan 'laman web sekutu' itu, "kata penyelidik Web dan penyelidik keselamatan, Feross Aboukhadijeh. post blog baru-baru ini. Oleh sebab pemilik laman web boleh menghasilkan subdomain sesuai dengan kehendak mereka, mereka dapat mengeksploitasi kelemahan ini untuk mendapatkan ruang penyimpanan tanpa had secara efektif di komputer pelawat, katanya.

Aboukhadijeh mencipta sebuah laman web konsep bukti yang menggunakan trik ini untuk mengisi hard disk pengunjung pemacu dengan data sampah. Laman web ini telah diuji dengan Chrome 25, Safari 6, Opera 12, dan IE 10, dan mampu menulis 1GB data setiap 16 saat pada Macbook Pro dilengkapi dengan pemacu keadaan pepejal (SSD), kata penyelidik

"Bagi penyemak imbas 32-bit, seperti Chrome, keseluruhan penyemak imbas mungkin terhempas sebelum disk diisi," kata Aboukhadijeh. Penyerang tidak berfungsi di Firefox kerana "pelaksanaan Firefox dari localStorage lebih pintar," katanya.

Pemaju Chrome mengakui masalah itu dalam entri pada pelacak bug Chrome, tetapi mencari pembetulan mungkin tidak mudah. Menurut beberapa orang yang terlibat dalam perbincangan, mengehadkan ruang lokal untuk subdomain berhubung dengan had untuk domain mereka masing-masing mungkin membuat masalah di laman-laman seperti Github Pages atau Appspot yang menyediakan pengguna dengan subdomain mereka sendiri untuk membuat projek.