Firefox- und Chrome-Benutzer werden gewarnt, ein 3D-Rendering-Tool nach „erheblichen“ Sicherheitsproblemen in ihren Browsern zu deaktivieren.
Als Teil der HTML5 Canvas-Funktionalität ist WebGL eine Rendering-Engine, die 3D-Bilder und -Animationen ohne Plugins ermöglicht. Es wird in den neuesten Versionen von Chrome und Firefox sowie in den neuesten Builds von Safari verwendet.
Die Sicherheitsfirma Context warnte davor, dass die Spezifikation „von Natur aus unsicher“ sei.
„Die Risiken ergeben sich aus der Tatsache, dass die meisten Grafikkarten und Treiber nicht im Hinblick auf Sicherheit geschrieben wurden, sodass die von ihnen bereitgestellte Schnittstelle (API) davon ausgeht, dass die Anwendungen vertrauenswürdig sind“, sagt Michael Jordon, Forschungs- und Entwicklungsmanager bei Context.
„Obwohl dies für lokale Anwendungen zutreffen mag, stellt die Verwendung von WebGL-fähigen browserbasierten Anwendungen mit bestimmten Grafikkarten jetzt ernsthafte Bedrohungen dar, von der Verletzung des domänenübergreifenden Sicherheitsprinzips bis hin zu Denial-of-Service-Angriffen, die möglicherweise zur vollständigen Ausnutzung von die Maschine eines Benutzers.“
Diese Bedenken bezüglich WebGL wurden vom US Computer Emergency Readiness Team (CERT), dem Cybersicherheitsberater der Bundesregierung, unterstützt. US CERT warnte, dass WebGL "mehrere bedeutende Sicherheitsprobleme" enthält, und riet den Benutzern, es zu deaktivieren.
"Die Auswirkungen dieser Probleme umfassen die Ausführung willkürlichen Codes, Denial-of-Service und domänenübergreifende Angriffe", sagte US CERT und warnte Benutzer, "WebGL zu deaktivieren, um die Risiken zu mindern".
So deaktivieren Sie WebGL
So deaktivieren Sie WebGL (danke an TechDows für die Anweisungen).
In Chrome:
- Rechtsklick auf die Chrome-Verknüpfung
- Klickeigenschaften
- geben Sie -disable-webgl in das Zielfeld nach der Chrome.exe-Zeile ein (…chrome.exe -disable-webgl)
- klick auf bewerben
So deaktivieren Sie WebGL in Firefox 4:
- Geben Sie „about:config“ in die Adressleiste ein
- stimme der Warnmeldung „Here be Dragons“ zu
- Geben Sie „webgl“ in das Filterfeld ein
- doppelklicken Sie auf „webgl.disable“, damit der Wert auf „true“ wechselt
- starte den browser neu
Wir warten noch auf die Bestätigung von Google und Mozilla, ob die Deaktivierung von WebGL auf diese Weise ausreichenden Schutz bietet.
