Der browsermotor Gecko har identificeret en sårbarhed (CVE-2026-6770), der muliggør oprettelse af unikke identifikatorer til at spore åbningen af forskellige sider fra én browser. Problemet optræder i alle Firefox-baserede browsere, herunder Tor Browser, og fungerer selv i privat browsing. Identifikatorerne gælder inden for den aktuelle browserproces og nulstilles efter genstart af browseren. Sårbarheden er blevet udbedret i versionerne Firefox 150/140.10.0 og Tor Browser 15.0.10.
For at oprette en identifikator er det tilstrækkeligt at skabe den samme rækkefølge af databaser via IndexedDB API'en på forskellige websteder, hvorefter rækkefølgen af disse databaser kan vurderes ved at kalde metoden indexedDB.databases(). For forskellige browser-instancer vil rækkefølgen af databaser være forskellig, men for en enkelt instans – gentage sig. Denne rækkefølge bevares indtil browseren genstartes og genskabes uafhængigt af det åbnede websted.
For eksempel, efter at have oprettet databasen "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" i én instans af Firefox, vil metoden indexedDB.databases() altid returnere "g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k" i en anden instans – "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l". Ved at oprette 16 databaser kan man få omkring 44 bits entropi til identifikation. Oprettelsen af identifikatoren påvirkes ikke af rydning af lokale browserlagre eller opdatering af Tor-nodestrengen ved at trykke på "New Identity"-knappen i Tor Browser. Metoden kan også bruges til at identificere brugere i privat browsing-vinduet.
Sårbarheden skyldes en egenskab ved implementeringen af IndexedDB API'en, hvor rækkefølgen af databaser påvirkes af layoutet af interne strukturer, der er specifikke for hver instans af browserens arbejdsgang. Rækkefølgen af elementene i databasen, der returneres af metoden indexedDB.databases(), afhænger ikke af databasenavne eller rækkefølgen af oprettelsen, men af placeringen i den globale hash-tabel af interne UUID-hashes, der er tilknyttet filnavnene, hvori databaserne gemmes på disken.
Kilde: opennet.ru
