HTML5 : découverte de la vulnérabilité de l'API requestAnimationFrame
qui permet à un hacker d'obtenir l'historique de navigation

HTML5 est une technologie qui a apporté son lot de fonctionnalités et d'innovations pour le développement web. Cependant, comme toute technologie, celle-ci présente aussi des points faibles qui peuvent être exploités par des hackers pour l'obtention d'informations sensibles.

Lorsqu'une page web contient un ou plusieurs liens, le navigateur doit déterminer à quel moment il faut appliquer un style visuel pour faire la différence entre un lien déjà visité d'un autre qui ne l'a pas encore été. Pratiquement, il consulte l'historique de navigation à cette fin.

Légitimement, l'API requestAnimationFrame est appelée chaque fois qu'une page web a besoin d'être redessinée. Malicieusement, un hacker peut s'en servir pour calculer le « framerate » d'une page web, et par là déterminer quels éléments ont été redessinés.

Dans le cas où les éléments d'intérêt sont des liens vers d'autres pages, alors le hacker peut entrer en possession de l'historique de navigation d'un utilisateur.

Par ailleurs, les filtres SVG sont aussi une nouveauté d'HTML5 présentant un risque pour les internautes. Ils peuvent être utilisés pour déterminer la valeur des pixels de chaque élément d'une page web. Dans le cas d'une « iframe », les valeurs des pixels peuvent être obtenues en utilisant une technique similaire à l'OCR (Optical Character Recognition). Cette vulnérabilité permet au hacker d'obtenir des informations sensibles des utilisateurs.

Pour les utilisateurs, le moyen de défense le plus recommandé réside dans l'utilisation du mode de navigation privée. Pour les possesseurs de sites web, désactiver l'« iframe » permet de se protéger de l'attaque par utilisation de filtres SVG.

Source : WhitePaper

Et vous ?

Doit-on s'alarmer après la publication de cette vulnérabilité ?