Onderzoeker publiceert 'ernstig' lek in IE8

Het probleem heeft gewoon te maken met de cookies welke worden meegezonden met de CSS requests. Op zijn eigen blog staan meerdere varianten van de cross-domain css theft issue.

Het probleem heeft niets te maken met cookies, het is ook helemaal geen probleem dat deze met CSS-requests meegestuurd worden (als dit niet gebeurt kun je bijvoorbeeld niet meer een op een bepaalde gebruiker toegesneden CSS-bestand terugsturen).

MSIE 8 en eerdere versies worden niet meer masaal getest waardoor de kans veel groter is dan andere onderdelen (het betreft hier namelijk een beveiligings gat in de HTTP specificatie, welke aangeeft dat cookies moet worden meegestuurd met *ELK* als het path overeenkomt) niet meer werken..

Nogmaals, het gaat hier niet om een fout in de HTTP-specificatie. Het is een fout in de CSS-parser, die zo'n beetje alles wat op CSS lijkt in een CSS-tree probeert te stoppen - zeg maar CSS-rule-soup. Onder andere Mozilla hebben die gefixt door het parsen van CSS te annuleren, zodat het niet meer op valide-CSS lijkt.


Dit veiligheidslek is gelijk weer een bewijs dat het niet parsen van CSS als het MIME-type niet klopt de beste oplossing is. Het sniffen van het documenttype is gewoon per definitie fout en is een medeoorzaak van dit lek. Juist het correct volgen van de HTTP-specificatie had dit lek voorkomen en laat het nu net MSIE zijn die het sniffen van het documenttype als 1 van de eerste toegepast heeft.

Verder is dit naar mijn mening, ook gelijk weer het bewijs dat stricte parsers beter zijn dan lenient parsers - als alle browsers (inclusies MSIE) altijd al CSS zeer strict behandeld zouden hebben, dan zou dit lek helemaal niet mogelijk zijn geweest.