L'errore HTML5 nei browser principali invita l'archiviazione dei dati indesiderati

Un ricercatore di sicurezza ha scoperto una via d'accesso al modo in cui lo standard di archiviazione Web HTML5 è implementato in Google Chrome, Internet Explorer e browser Apple Safari che potrebbero consentire ai siti Web dannosi di riempire i dischi rigidi dei visitatori con grandi quantità di dati indesiderati.

HTML5 Web Storage definisce un'API (interfaccia di programmazione dell'applicazione) che consente ai siti Web di archiviare più dati all'interno dei browser di quanto fosse possibile in precedenza utilizzando i cookie, che sono limitati a una dimensione massima di 4KB.

L'attributo localStorage dell'API di archiviazione Web consente ai siti Web di archiviare tra 2,5 MB e 10 M B di dati per nome del dominio di origine, a seconda del browser utilizzato. Google Chrome impone un limite di 2. MB, Mozilla Firefox un limite di 5 MB e Internet Explorer un limite di 10 MB.

[Ulteriori letture: Come rimuovere malware dal PC Windows]

Tuttavia, lo standard di archiviazione Web avverte che alcuni siti Web potrebbero tentare di aggirare il limite di archiviazione memorizzando i dati dai loro sottodomini. "Gli agenti utente dovrebbero proteggersi dai siti che archiviano dati sotto le origini di altri siti affiliati, ad esempio archiviando fino al limite in a1.example.com, a2.example.com, a3.example.com, ecc., Eludendo lo spazio di esempio main.com limite ", secondo lo standard, pubblicato dal World Wide Web Consortium.

" Chrome, Safari e IE attualmente non implementano alcun limite di archiviazione del tipo "sito affiliato", ha affermato Feross Aboukhadijeh, sviluppatore Web e ricercatore di sicurezza in un post del blog recente. Poiché i proprietari di siti web possono generare sottodomini a loro piacimento, possono sfruttare questa lacuna per ottenere in modo efficace spazio di archiviazione illimitato sui computer dei visitatori, ha affermato.

Aboukhadijeh ha creato un sito Web proof-of-concept che utilizza questo trucco per riempire l'hard disk dei visitatori unità con dati spazzatura. Il sito è stato testato con Chrome 25, Safari 6, Opera 12 e IE 10 ed era in grado di scrivere 1 GB di dati ogni 16 secondi su un Macbook Pro equipaggiato con un disco a stato solido (SSD), ha detto il ricercatore.

"Per i browser a 32 bit, come Chrome, l'intero browser potrebbe bloccarsi prima che il disco venga riempito", ha affermato Aboukhadijeh. L'attacco non funziona in Firefox perché "l'implementazione di Firefox di localStorage è più intelligente", ha affermato.

Gli sviluppatori di Chrome hanno riconosciuto il problema in una voce sul bug tracker di Chrome, ma trovare una soluzione potrebbe non essere facile. Secondo alcune persone coinvolte nella discussione, la limitazione dello spazio localStorage per i sottodomini in relazione al limite per i rispettivi domini potrebbe creare problemi su siti come Github Pages o Appspot che forniscono agli utenti i propri sottodomini per creare progetti.