Ошибка в браузере Safari позволяет веб-сайтам узнать адреса сайтов, открытых в других вкладках и окнах

21/01/22

Safari Веб-сайты могут собирать информацию об адресах всех остальных сайтов, открытых в других вкладках и окнах. В Apple ошибку исправили, но пакет обновлений для пользователей пока не подготовлен.

Специалисты сервиса FingerprintJS обнаружили серьезную ошибку в браузере Safari. Она связана с реализацией в браузере интерфейса базы данных IndexedDB, который часто используется веб-сайтами для сохранения информации на стороне пользователя. Проблема заключается в том, что при взаимодействии веб-сайта с IndexedDB в Safari во всех остальных открытых вкладках, окнах и фреймах браузера создаются новые пустые базы данных с тем же именем, что и в исходной вкладке.

Хотя данные из исходной вкладки в них не попадают, само имя базы данных обычно несет в себе информацию о веб-сайте, который ее использует. Иногда веб-сайты включают в имя базы данных даже уникальные идентификаторы пользователей. К таким сайтам относятся, например, YouTube, Google Calendar и Google Keep. Таким образом, узнав имя базы данных, посторонний сайт узнает и идентификатор пользователя Google, через который можно извлечь некоторые сведения о пользователе — как минимум, изображение в профиле.

В Apple, судя по записям в системе контроля исходного кода движка WebKit, который используется в браузере Safari, уже нашли и исправили ошибку. Но пакет исправлений для конечных пользователей пока не подготовлен.

Ошибка в браузере Safari позволяет веб-сайтам узнать адреса сайтов, открытых в других вкладках и окнах

Мы в соцсетях