V prohlížeči založeném na enginu Gecko byla objevena zranitelnost (CVE-2026-6770), která umožňuje vytvářet jedinečné identifikátory pro sledování otevření různých webových stránek z jednoho prohlížeče. Problém se vyskytuje ve všech prohlížečích založených na Firefoxu, včetně Tor Browseru, a funguje dokonce i v režimu soukromého prohlížení. Identifikátory platí v rámci aktuálního procesu prohlížeče a jsou vymazány po restartu prohlížeče. Zranitelnost byla opravena ve verzích Firefoxu 150/140.10.0 a Tor Browseru 15.0.10.
Pro vytvoření identifikátoru stačí v různých webových stránkách vytvořit pomocí API IndexedDB stejnou sekvenci databází, po které je třeba vyhodnotit pořadí těchto databází jako výsledek volání metody indexedDB.databases(). Pro různé instance prohlížeče se pořadí seznamu databází bude lišit, ale pro jednu instanci se bude opakovat. Toto pořadí se zachovává až do restartu prohlížeče a reprodukuje se nezávisle na otevřeném webu.
Například po vytvoření databáze „a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r“ v jedné instanci Firefoxu metoda indexedDB.databases() vždy vrátí „g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k“, zatímco v jiné instanci vrátí „j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l“. Při vytvoření 16 databází lze získat přibližně 44 bitů entropie pro identifikaci. Generování identifikátoru není ovlivněno vymazáním místních prohlížečových úložišť a obnovou řetězce Tor uzlů pomocí tlačítka „Nová identita“ v Tor Browseru. Metoda může být také použita k identifikaci uživatelů v okně soukromého prohlížení.
Zranitelnost je způsobena zvláštností implementace API IndexedDB, na které pořadí databází závisí od uspořádání vnitřních struktur specifických pro každou instanci pracovního procesu prohlížeče. Pořadí prvků v seznamu databází, který vrací metoda indexedDB.databases(), nezávisí na názvech databází nebo pořadí jejich vytvoření, ale na umístění v globální hash tabulce vnitřních UUID hashů asociovaných s názvy souborů, ve kterých jsou databáze uložené na disku.
Zdroj: opennet.ru
