Exploit lässt in etlichen Browsern unbemerkte Speicherüberflutung zu

Die neue Website Filldisk.com nutzt eine prekäre HTML5-Sicherheitslücke aus, von der die Browser Chrome, Safari, Opera und Internet Explorer betroffen sind. Allein der Aufruf der Homepage genügt dazu, dass sich innerhalb weniger Sekunden mehrere Gigabyte an Katzenbildern auf dem Computer anstauen. Lediglich Firefox-Nutzer sind zum aktuellen Zeitpunkt nicht angreifbar.

Verantwortlicher Entwickler der Webseite ist der Programmierer Feross Aboukhadijeh. Bereits am Mittwoch stellte der IT-Experte auf seinem Blog die „HTML 5 Hard Disk Filler API“ vor. Mittels des Scripts kann eine Webseite so präpariert werden, dass sie die Festplatte jedes Besuchern mit Unmengen an Daten füllt. Im Falle von Aboukhadijehs Demonstration auf Filldisk.com (Achtung: Sofort nach dem Öffnen der Webseite beginnt sich die Festplatte zu füllen) werden sekündlich unzählige Katzenbilder übertragen. Zwar ist es über einen einfachen Klick möglich, den gesamten Datenschrott wieder zu löschen. Allerdings würde ein böswilliger Angreifer seinen Opfern diese Möglichkeit sicherlich nicht bieten.

Dass ein derartiger Angriff überhaupt möglich ist, liegt an der neuen localStorage-Funktion von HTML5. Diese erlaubt es Webseiten, statt winziger Cookies auch größere Daten auf dem Computer des Nutzers abzulegen zu können. Allerdings ist es Aufgabe des Browsers, den möglichen Speicherumfang einer jeden Webseite zu begrenzen. Je nach Software werden jeder Domain nur rund 5 Megabyte gestattet. Allerdings haben die Entwickler von Google Chrome, Firefox, Opera und Internet Explorer nicht daran gedacht, den Missbrauch über mehrere Subdomains auszuschließen. Denn Aboukhadijehs Exploit verschafft sich über 1.filldisk.com, 2.filldisk.com, … so viel Festplattenkontingent, wie es möchte. In der offiziellen HTML5-Dokumentation machen die Verantwortlichen sogar explizit darauf aufmerksam, diese Angriffsmethode zu verhindern. Allerdings erhalten nur Firefox-Nutzer auf der Demonstrations-Webseite die Meldung, dass der Bug bei ihnen nicht existiert.

Aboukhadijeh hat in den Bugreport-Systemen aller betroffenen Browser einen Antrag gestellt, die Lücke schnellstmöglich zu schließen. Bisher funktioniert der Trick allerdings noch in allen betroffenen Browsern.

Quelle : gulli.com