Car-tech

Fallo de HTML5 en navegadores líderes invita a almacenamiento de datos no deseados

Como solucionar todos los problemas y errores de Mozilla Firefox

Como solucionar todos los problemas y errores de Mozilla Firefox
Anonim

Un investigador de seguridad encontró una laguna en la implementación del estándar HTML5 Web Storage en Google Chrome, Internet Explorer y los navegadores Safari de Apple que podrían permitir que los sitios web maliciosos llenen las unidades de disco duro de los visitantes con grandes cantidades de datos basura.

Almacenamiento web HTML5 define una API (interfaz de programación de aplicaciones) que permite que los sitios web almacenen más datos dentro de los navegadores que anteriormente era posible mediante el uso de cookies, que están restringidas a un tamaño máximo de 4 KB.

El atributo localStorage de la API de almacenamiento web permite a los sitios web almacenar entre 2.5MB y 10M B de datos por nombre de dominio de origen, según el navegador utilizado. Google Chrome impone un límite de 2. MB, Mozilla Firefox un límite de 5 MB e Internet Explorer un límite de 10 MB.

[Más información: cómo eliminar el malware de su PC con Windows]

Sin embargo, el estándar de almacenamiento web advierte que algunos sitios web pueden intentar eludir el límite de almacenamiento almacenando datos de sus subdominios. "Los agentes de usuario deben protegerse contra los sitios que almacenan datos en los orígenes de otros sitios afiliados, por ejemplo, almacenar hasta el límite en a1.example.com, a2.example.com, a3.example.com, etc., eludiendo el almacenamiento principal de example.com límite, "de acuerdo con el estándar, publicado por World Wide Web Consortium.

" Chrome, Safari e IE actualmente no implementan ningún límite de almacenamiento de ese "sitio afiliado", dijo el desarrollador web e investigador de seguridad Feross Aboukhadijeh en una publicación de blog reciente. Dado que los propietarios de sitios web pueden generar subdominios a voluntad, pueden explotar esta laguna para ganar espacio ilimitado de almacenamiento en las computadoras de los visitantes, dijo.

Aboukhadijeh creó un sitio web de prueba de concepto que utiliza este truco para llenar el disco duro de los visitantes. conduce con datos basura El sitio fue probado con Chrome 25, Safari 6, Opera 12 e IE 10, y fue capaz de escribir 1GB de datos cada 16 segundos en un Macbook Pro equipado con un disco de estado sólido (SSD), dijo el investigador.

"Para los navegadores de 32 bits, como Chrome, el navegador completo puede bloquearse antes de que se llene el disco", dijo Aboukhadijeh. El ataque no funciona en Firefox porque "la implementación de Firefox de localStorage es más inteligente", dijo.

Los desarrolladores de Chrome reconocieron el problema en una entrada en el rastreador de errores de Chrome, pero encontrar una solución podría no ser fácil. Según algunas personas involucradas en la discusión, limitar el espacio de almacenamiento local para los subdominios en relación con el límite para sus respectivos dominios podría crear problemas en sitios como Github Pages o Appspot que proporcionan a los usuarios sus propios subdominios para crear proyectos.