jofpin/ifaPoC exposant une vulnérabilité critique IndexedDB qui permet une attaque de saturation du disque en exploitant l'absence de restrictions.
IFA est une preuve de concept (PoC) qui montre comment un attaquant peut exploiter l'API IndexedDB dans les navigateurs web populaires pour mener une attaque de saturation du disque. Cette attaque exploite spécifiquement l'absence de restrictions dans IndexedDB, permettant au navigateur de stocker des données sans limites efficaces, ce qui peut rapidement consommer l'espace disque d'un utilisateur en injectant des centaines de Mo par seconde. Cela peut entraîner une dégradation significative des performances du système, l'épuisement du stockage et, dans les cas extrêmes, un crash complet du système.
Dans un monde où nous comptons de plus en plus sur les applications web pour la productivité et le divertissement, une vulnérabilité qui peut rendre votre appareil inutilisable en quelques minutes est une menace sérieuse. IFA révèle comment l'absence de restrictions dans IndexedDB peut être exploitée pour créer un scénario où un utilisateur perd le contrôle de son système à cause d'un simple script.
L'exécution d'IFA peut avoir les effets dévastateurs suivants :
Dégradation massive des performances : Le stockage massif et continu de données dans IndexedDB sature les opérations d'entrée/sortie du disque, entraînant une diminution significative de la vitesse du système. Les utilisateurs subiront des temps de réponse extrêmement lents, rendant difficile l'utilisation normale de leurs appareils.
Épuisement rapide du stockage : En quelques minutes, l'attaque peut consommer des gigaoctets d'espace disque. Une fois le stockage épuisé, le système devient incapable d'effectuer des opérations de base comme enregistrer des documents, installer des mises à jour ou même ouvrir de nouvelles applications.
Instabilité et crash du système : Lorsque le disque est complètement rempli, le système d'exploitation peut devenir instable ou même planter, entraînant la perte de données non sauvegardées et potentiellement l'endommagement de fichiers système critiques. Les utilisateurs affectés peuvent être confrontés à la nécessité de restaurer leur système ou même d'effectuer une réinstallation complète du système d'exploitation.
IFA affecte une large gamme de navigateurs :
IFA utilise une stratégie soigneusement conçue pour exploiter l'absence de restrictions dans l'API IndexedDB, maximisant l'impact de l'attaque tout en empêchant le navigateur de planter prématurément :
Génération d'identifiants uniques : Le script génère plusieurs bases de données avec des noms aléatoires, garantissant l'absence de conflits et que chaque base de données peut stocker de grandes quantités de données.
Injection de blobs de 8 Mo : IFA utilise des blobs de 8 Mo (fragments de données volumineux) composés de texte répétitif et de données d'image. Ce choix de taille est crucial car il permet de stocker efficacement de grands volumes de données sans provoquer un crash immédiat du navigateur. En utilisant des blobs d'une taille spécifique, IFA peut saturer le disque de l'utilisateur de manière cohérente et persistante, contournant les mécanismes de sécurité basés sur le tampon mémoire de l'onglet du navigateur qui pourraient arrêter l'attaque si des opérations d'écriture excessives ou trop rapides sont détectées.
Boucles de stockage de données : Les blobs de 8 Mo sont stockés à plusieurs reprises dans l'objet IndexedDB, créant un flux continu de données qui remplit rapidement l'espace disque. IFA injecte des centaines de Mo par seconde, assurant une consommation rapide de l'espace de stockage de l'utilisateur tout en évitant les crashes immédiats du navigateur.
Saturation du disque : Le processus se poursuit indéfiniment, stockant des données jusqu'à ce que l'espace disque soit épuisé, entraînant une série de problèmes pouvant paralyser le système.
L'exploit IFA démontre comment une vulnérabilité sévère dans l'API IndexedDB peut être transformée en arme. Voici quelques scénarios dans lesquels un attaquant pourrait exploiter cette PoC pour causer des dommages importants :
Exploitation via Cross-Site Scripting (XSS) : Si un attaquant découvre une vulnérabilité XSS sur un site web légitime, il pourrait injecter le script IFA dans le site. Lorsque les utilisateurs visitent la page compromise, le script s'exécuterait automatiquement dans leurs navigateurs, remplissant rapidement leur espace disque. Cela pourrait entraîner un ralentissement significatif du système, voire un crash, en particulier pour les utilisateurs qui ne sont pas conscients de l'attaque.
Bibliothèques JavaScript tierces compromises : De nombreux sites web et applications web s'appuient sur des bibliothèques JavaScript tierces. Si un attaquant compromettait l'une de ces bibliothèques en y injectant le script IFA, tout site utilisant la bibliothèque affectée pourrait devenir involontairement un vecteur d'attaque. Cela entraînerait une saturation généralisée du disque sur tout appareil d'utilisateur chargeant le script compromis.
Extensions de navigateur malveillantes : Les attaquants pourraient développer ou compromettre des extensions de navigateur pour inclure le script IFA. Une fois installée, l'extension pourrait exécuter le script silencieusement en arrière-plan, saturant l'espace disque de l'utilisateur à chaque ouverture du navigateur. Ce scénario est particulièrement dangereux car les extensions de navigateur ont souvent des autorisations étendues.
Publicités web infectées : Un attaquant pourrait placer une publicité malveillante contenant le script IFA sur un site web légitime. Lorsque les utilisateurs chargent la page avec la publicité infectée, le script s'exécuterait et commencerait à consommer leur espace disque. Cette méthode pourrait cibler un grand nombre d'utilisateurs, en particulier sur les sites web à fort trafic.
Campagnes de phishing : Les attaquants pourraient envoyer des e-mails de phishing dirigeant les victimes vers un site web hébergeant le script IFA. Une fois que la cible visite le site malveillant, le script s'exécuterait et commencerait à remplir son espace disque. Cette méthode pourrait être particulièrement efficace dans les attaques ciblées contre des individus ou des organisations.
Pour vous aider à mieux comprendre l'impact d'IFA, j'ai créé une démonstration sur un site web dédié. Cette démo web est conçue pour vous permettre de voir facilement l'exploit en action et de comprendre ses effets potentiels.
