Firefox- en Chrome-gebruikers worden gewaarschuwd om een 3D-renderingtool in hun browsers uit te schakelen na "aanzienlijke" beveiligingsproblemen.
WebGL, onderdeel van de HTML5 Canvas-functionaliteit, is een rendering-engine die 3D-afbeeldingen en animaties zonder plug-ins mogelijk maakt. Het wordt gebruikt in de nieuwste versies van Chrome en Firefox, evenals in de nieuwste versies van Safari.
Beveiligingsbedrijf Context waarschuwde dat de specificatie "inherent onveilig" is.
"De risico's vloeien voort uit het feit dat de meeste grafische kaarten en stuurprogramma's niet zijn geschreven met het oog op beveiliging, zodat de interface (API) die ze blootleggen ervan uitgaat dat de applicaties vertrouwd zijn", zegt Michael Jordon, onderzoeks- en ontwikkelingsmanager bij Context.
“Hoewel dit waar kan zijn voor lokale applicaties, vormt het gebruik van WebGL-enabled browsergebaseerde applicaties met bepaalde grafische kaarten nu serieuze bedreigingen, van het doorbreken van het cross-domain security-principe tot denial-of-service-aanvallen, wat mogelijk kan leiden tot volledige exploitatie van de machine van een gebruiker.”
Die zorgen met WebGL worden ondersteund door het Amerikaanse Computer Emergency Readiness Team (CERT), de cyberbeveiligingsadviseur van de federale overheid. US CERT waarschuwde dat WebGL "meerdere belangrijke beveiligingsproblemen" bevat en adviseerde gebruikers om het uit te schakelen.
"De impact van deze problemen omvat het uitvoeren van willekeurige code, denial-of-service en cross-domain-aanvallen", zei US CERT, gebruikers waarschuwend om "WebGL uit te schakelen om de risico's te verminderen".
Hoe WebGL uit te schakelen
Hier leest u hoe u WebGL uitschakelt (met dank aan TechDows voor de instructies).
In Chrome:
- klik met de rechtermuisknop op de Chrome-snelkoppeling
- klik op eigenschappen
- typ -disable-webgl in het doelveld na de regel Chrome.exe (...chrome.exe -disable-webgl)
- klik op toepassen
WebGL uitschakelen in Firefox 4:
- typ "about:config" in de adresbalk
- ga akkoord met het waarschuwingsbericht "hier zijn draken"
- typ "webgl" in het veld Filter
- dubbelklik op "webgl.disable" zodat de waarde verandert in "true"
- herstart de browser
We wachten nog steeds op bevestiging van Google en Mozilla of het op deze manier uitschakelen van WebGL voldoende bescherming biedt.