Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

HTML5 : découverte d'une vulnérabilité dans l'API requestAnimationFrame
Permettant à un hacker d'obtenir l'historique de navigation

Le , par Cedric Chevalier

21PARTAGES

3  0 
HTML5 est une technologie qui a apporté son lot de fonctionnalités et d'innovations pour le développement web. Cependant, comme toute technologie, celle-ci présente aussi des points faibles qui peuvent être exploités par des hackers pour l'obtention d'informations sensibles.

Lorsqu'une page web contient un ou plusieurs liens, le navigateur doit déterminer à quel moment il faut appliquer un style visuel pour faire la différence entre un lien déjà visité d'un autre qui ne l'a pas encore été. Pratiquement, il consulte l'historique de navigation à cette fin.

Légitimement, l'API requestAnimationFrame est appelée chaque fois qu'une page web a besoin d'être redessinée. Malicieusement, un hacker peut s'en servir pour calculer le « framerate » d'une page web, et par là déterminer quels éléments ont été redessinés.

Dans le cas où les éléments d'intérêt sont des liens vers d'autres pages, alors le hacker peut entrer en possession de l'historique de navigation d'un utilisateur.

Par ailleurs, les filtres SVG sont aussi une nouveauté d'HTML5 présentant un risque pour les internautes. Ils peuvent être utilisés pour déterminer la valeur des pixels de chaque élément d'une page web. Dans le cas d'une « iframe », les valeurs des pixels peuvent être obtenues en utilisant une technique similaire à l'OCR (Optical Character Recognition). Cette vulnérabilité permet au hacker d'obtenir des informations sensibles des utilisateurs.

Pour les utilisateurs, le moyen de défense le plus recommandé réside dans l'utilisation du mode de navigation privée. Pour les possesseurs de sites web, désactiver l'« iframe » permet de se protéger de l'attaque par utilisation de filtres SVG.

Source : WhitePaper

Et vous ?

Doit-on s'alarmer après la publication de cette vulnérabilité ?

Une erreur dans cette actualité ? Signalez-le nous !