Бъг в Safari може да доведе до изтичане на лични данни

Благодарение на публикация във FingerprintJS научаваме за сериозен бъг в Safari. Чрез него е възможно разкриването на браузинг историята и дори частична информация за свързан акаунт в Google.

Проблемът се корени в прилагането на IndexedDB в Safari за Mac и iOS, с което сайтовете могат да виждат имената на базите с данни за всички домейни, а не само за собствения си. Тези имена могат да бъдат използвани за извличане на идентифицираща информация от lookup таблица.

Така например, услугите на Google съхраняват IndexedDB записи за всеки логнат акаунт, а имената на базите с данни отговарят на вашия Google User ID. По този начин зловредни сайтове могат да извлекат този идентификатор и да открият други лични данни.

Почти всеки сайт, който използва IndexedDB JavaScript API може да е уязвим за подобно извличане на данни. Това е така, тъй като имената на всички IndexedDB бази с данни са лесно достъпни, макар и съдържанието им да е защитено.

За да се отстрани този бъг би трябвало сайтовете да виждат само базите с данни създадени под същите имена на домейни като техните. Всички актуални версии на Safari за iPhone, iPad и Mac включват тази уязвимост. От FingerprintJS са съобщили за нея на Apple на 28 ноември.

Източник: FingerprintJS