Küpsetusmootor Gecko's tuvastati haavatavus (CVE-2026-6770), mis võimaldab genereerida ainulaadseid identifikaatoreid, et jälgida erinevate saitide avamist ühest brauserist. Probleem esineb kõikides Firefoxi põhistel brauserites, sealhulgas Tor Brauseris, ja toimib ka privaatvaate režiimis. Identifikaatorid kehtivad praeguses brauseri protsessis ja lähtestatakse pärast brauseri taaskäivitamist. Haavatavus on kõrvaldatud Firefoxi versioonides 150/140.10.0 ja Tor Brauser 15.0.10.
Identifikaatori loomiseks piisab, kui erinevates saitides luua API IndexedDB kaudu sama andmebaasi järjestus, pärast mida hinnatakse nende andmebaaside järjestust, kasutades meetodit indexedDB.databases(). Erinevate brauseri eksemplaride puhul on andmebaaside loendi järjestus erinev, kuid ühes eksemplaris kordub see. Selline järjestus säilib kuni brauseri taaskäivitamiseni ja taasesitatakse olenemata avatud saidist.
Näiteks pärast andmebaasi "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" loomist ühes Firefoxi eksemplaris tagastab meetod indexedDB.databases() alati "g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k", kuid teises eksemplaris "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l". 16 andmebaasi loomise korral on võimalik saada umbes 44 bitti entropiat tuvastamiseks. Identifikaatori genereerimisele ei mõjuta kohalike brauseri salvestuste puhastamine ega Tor Brauseris Tor-sõlmede ahelate värskendamine nupule "Uus isik" vajutamisega. Meetodit saab kasutada ka kasutajate tuvastamiseks privaatvaates.
Haavatavus tuleneb API IndexedDB rakenduse eripärast, kus andmebaaside järjestusele mõjutab iga brauseri tööprotsessi konkreetne siseehitus. Meetodiga indexedDB.databases() tagastatud andmebaaside loendi elemendite järjestus ei sõltu andmebaasi nimedest ega nende loomise järjekorrast, vaid globaalsete räsimärkide tabeli sisestruktuuri UUID-räsi asukohtadest, mis on seotud failide nimedega, kus andmebaasid on kettale salvestatud.
Allikas: opennet.ru
