Firefox- og Chrome-brugere bliver advaret om at deaktivere et 3D-gengivelsesværktøj i deres browsere efter "betydelige" sikkerhedsproblemer.
WebGL er en del af HTML5 Canvas-funktionaliteten og er en gengivelsesmotor, der tillader 3D-billeder og animationer uden plugins. Det bruges i de nyeste versioner af Chrome og Firefox, såvel som de nyeste builds af Safari.
Sikkerhedsfirmaet Context advarede om, at specifikationen er "iboende usikker".
"Risiciene stammer fra det faktum, at de fleste grafikkort og drivere ikke er blevet skrevet med sikkerhed for øje, så det interface (API), de eksponerer, forudsætter, at applikationerne er tillid til," siger Michael Jordon, forsknings- og udviklingschef hos Context.
"Selvom dette kan være sandt for lokale applikationer, udgør brugen af WebGL-aktiverede browserbaserede applikationer med visse grafikkort nu alvorlige trusler fra at bryde sikkerhedsprincippet på tværs af domæner til denial-of-service-angreb, hvilket potentielt kan føre til fuld udnyttelse af en brugers maskine."
Disse bekymringer med WebGL er blevet bakket op af US Computer Emergency Readiness Team (CERT), den føderale regerings cybersikkerhedsrådgiver. US CERT advarede om, at WebGL indeholder "flere væsentlige sikkerhedsproblemer", og rådede brugere til at slå det fra.
"Konsekvensen af disse problemer inkluderer vilkårlig kodeudførelse, denial-of-service og angreb på tværs af domæner," sagde US CERT og advarede brugere om at "deaktivere WebGL for at hjælpe med at mindske risiciene".
Sådan slår du WebGL fra
Sådan slår du WebGL fra (tak til TechDows for instruktionerne).
I Chrome:
- højreklik på Chrome-genvejen
- klik på egenskaber
- skriv -disable-webgl i målfeltet efter Chrome.exe-linjen (...chrome.exe -disable-webgl)
- klik på anvend
Sådan slår du WebGL fra i Firefox 4:
- skriv "about:config" i adresselinjen
- acceptere advarselsmeddelelsen "her er drager".
- skriv "webgl" i Filter-feltet
- dobbeltklik på "webgl.disable", så værdien ændres til "true"
- genstart browseren
Vi venter stadig på bekræftelse fra Google og Mozilla om, hvorvidt deaktivering af WebGL på disse måder vil være tilstrækkelig beskyttelse.