Błąd HTML5 w wiodących przeglądarkach zachęca do przechowywania niepotrzebnych danych

Naukowiec zajmujący się bezpieczeństwem znalazł lukę w sposobie implementacji standardu HTML5 Web Storage w przeglądarce Google Chrome, Internet Explorer i przeglądarki Apple Safari, które mogą umożliwić złośliwym witrynom wypełnianie dysków twardych użytkowników dużą ilością niepotrzebnych danych.

HTML5 Web Storage definiuje API (interfejs programowania aplikacji), który pozwala stronom internetowym przechowywać więcej danych w przeglądarkach niż było to wcześniej możliwe dzięki użyciu plików cookie, które są ograniczone do rozmiaru maksymalnie 4 KB.

Atrybut localStorage interfejsu Web Storage API pozwala stronom internetowym przechowywać od 2,5 MB do 10 MB B danych na nazwę nazwy pochodzenia - w zależności od używanej przeglądarki. Google Chrome wymusza ograniczenie do 2 MB, Mozilla Firefox do limitu 5 MB i Internet Explorer do limitu 10 MB.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Jednak standard Web Storage ostrzega, że ​​niektóre witryny mogą próbować ominąć limit przestrzeni dyskowej, przechowując dane z ich poddomen. "Agenci użytkownika powinni strzec się przed witrynami przechowującymi dane pod źródłami innych witryn powiązanych, np. Przechowując do limitu w a1.example.com, a2.example.com, a3.example.com itd., Omijając główne miejsce przechowywania pliku example.com limit, "zgodnie ze standardem opublikowanym przez World Wide Web Consortium.

" Chrome, Safari i IE obecnie nie implementują żadnego takiego limitu pamięci "powiązanej witryny", "Web developer i badacz bezpieczeństwa Feross Aboukhadijeh powiedział w ostatni wpis na blogu. Ponieważ właściciele witryn mogą dowolnie generować subdomeny, mogą wykorzystać tę lukę, by skutecznie uzyskać nieograniczone miejsce na komputerach odwiedzających, powiedział.

Aboukhadijeh stworzył witrynę sprawdzającą koncepcję, która wykorzystuje tę sztuczkę do wypełnienia dysku twardego odwiedzających dyski z niepotrzebnymi danymi. Witryna została przetestowana w Chrome 25, Safari 6, Opera 12 i IE 10 i była w stanie zapisywać 1 GB danych co 16 sekund na komputerze Macbook Pro wyposażonym w dysk SSD (Solid State Drive), powiedział naukowiec.

"W przypadku 32-bitowych przeglądarek, takich jak Chrome, cała przeglądarka może ulec awarii przed zapełnieniem dysku" - powiedział Aboukhadijeh. Atak nie działa w Firefoksie, ponieważ "implementacja localStorage przez Firefoksa jest mądrzejsza" - powiedział.

Programiści Chrome potwierdzili ten problem we wpisie w narzędziu do śledzenia błędów Chrome, ale znalezienie poprawki może nie być łatwe. Według niektórych osób biorących udział w dyskusji ograniczenie obszaru localStorage dla subdomen w odniesieniu do limitu dla ich domen może powodować problemy na stronach takich jak Github Pages lub Appspot, które zapewniają użytkownikom własne poddomeny do tworzenia projektów.