Gecko brauserimootoris on avastatud haavatavus (CVE-2026-6770), mis võimaldab luua unikaalseid jälgimisidentifikaatoreid, et jälgida ühe brauseri kaudu erinevate saitide avamist. Probleem ilmneb kõigis Firefoxi põhistest brauseritest, sealhulgas Tor Browsers, ja töötab isegi privaatses sirvimise režiimis. Identifikaatorid kehtivad praeguses brauseriprotsessis ja lähtestatakse pärast brauseri taaskäivitamist. Haavatavus on kõrvaldatud Firefoxi versioonides 150/140.10.0 ja Tor Browser 15.0.10.
Identifikaatori loomiseks on piisav, et erinevates saitides luua läbi API IndexedDB sama andmebaasi järjekord, pärast mida hindatakse nende andmebaaside järjestust, kasutades meetodit indexedDB.databases(). Erinevate brauseri instantside puhul on andmebaaside loetelu järjestus erinev, kuid ühe jaoks kordub see. Selline kord säilib kuni brauseri taaskäivitamiseni ja on reprodutseeritav sõltumata avatud saidist.
Näiteks, pärast andmebaasi „a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r“ loomist ühes Firefoxi eksemplaris tagastab meetod indexedDB.databases() alati „g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k“, samas kui teises eksemplaris tagastab see „j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l“. 16 andmebaasi loomisel võib saada umbes 44 bitti entropiat identifitseerimiseks. Identifikaatori genereerimist ei mõjuta kohalike brauseri salvestiste puhastamine ega Tor Browseris „New Identity“ nupu vajutamine Tor-sõlmede ahelas. Meetodit saab kasutada ka kasutajate tuvastamiseks privaatse sirvimise aknas.
Haavatavus tuleneb API IndexedDВ rakendamise eripärast, kus andmebaaside järjekorrale mõjutab iga brauseri tööprotsessi eksemplari spetsiifiliste sisemiste struktuuride paigutus. indexedDB.databases() meetodiga tagastatud andmebaaside elemendi järjestus ei sõltu mitte andmebaaside nimedest või loomise järjekorrast, vaid globaalsetes räsitabelites asuvate sisemiste UUID-räside asukohast, mis on seotud failide nimedega, kus andmebaasid kettal asuvad.
Allikas: opennet.ru
