Car-tech

Falha HTML5 nos principais navegadores convida o armazenamento de dados indesejados

Informática para Concursos: Sessão da Tarde, Navegadores de Internet | Prof. Léo Matos

Informática para Concursos: Sessão da Tarde, Navegadores de Internet | Prof. Léo Matos
Anonim

Um pesquisador de segurança descobriu uma falha na implementação do padrão HTML5 Web Storage no Google Chrome., O Internet Explorer e o Apple Safari, que permitem que sites mal-intencionados preencham grandes quantidades de lixo eletrônico.

HTML5 Web Storage define uma API (interface de programação de aplicativos) que permite que sites armazenem mais dados em navegadores do que era possível anteriormente usando cookies, que são restritos a um tamanho máximo de 4KB.

O atributo localStorage da Web Storage API permite que os sites armazenem entre 2,5MB e 10M B de dados por nome de domínio de origem, dependendo do navegador usado. O Google Chrome impõe um limite de 2. MB, o Mozilla Firefox um limite de 5 MB e o Internet Explorer um limite de 10 MB.

[Leitura adicional: Como remover malware do seu PC com Windows]

No entanto, o padrão Web Storage adverte que alguns sites podem tentar contornar o limite de armazenamento armazenando dados de seus subdomínios. "Os agentes do usuário devem proteger os sites que armazenam dados sob as origens de outros sites afiliados, por exemplo, armazenando até o limite em a1.example.com, a2.example.com, a3.example.com, etc, contornando o armazenamento principal de example.com limite ", de acordo com o padrão, publicado pelo World Wide Web Consortium.

" O Chrome, Safari e IE atualmente não implementam nenhum limite de armazenamento de 'site afiliado' ", disse Feross Aboukhadijeh, pesquisador e desenvolvedor de segurança da Web. postagem recente no blog. Como os proprietários de sites podem gerar subdomínios à vontade, eles podem explorar essa brecha para obter espaço de armazenamento ilimitado nos computadores dos visitantes, disse ele.

Aboukhadijeh criou um site de prova de conceito que usa esse truque para preencher o disco rígido dos visitantes. drives com dados indesejados. O site foi testado com o Chrome 25, Safari 6, Opera 12 e IE 10, e foi capaz de gravar 1 GB de dados a cada 16 segundos em um Macbook Pro equipado com um drive de estado sólido (SSD), disse o pesquisador. "Para navegadores de 32 bits, como o Chrome, todo o navegador pode falhar antes que o disco seja preenchido", disse Aboukhadijeh. O ataque não funciona no Firefox porque "a implementação do localStorage no Firefox é mais inteligente", disse ele.

Os desenvolvedores do Chrome reconheceram o problema em uma entrada no rastreador de bugs do Chrome, mas encontrar uma correção pode não ser fácil. De acordo com algumas pessoas envolvidas na discussão, limitar o espaço localStorage para subdomínios em relação ao limite para seus respectivos domínios pode criar problemas em sites como o Github Pages ou o Appspot que fornecem aos usuários seus próprios subdomínios para criar projetos.