{"id":169865,"date":"2026-04-23T18:24:28","date_gmt":"2026-04-23T16:24:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser"},"modified":"2026-04-23T18:24:28","modified_gmt":"2026-04-23T16:24:28","slug":"uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","title":{"rendered":"Vulnerabilit\u00e0 nell'API IndexedDB che consente di identificare gli utenti di Firefox e Tor Browser","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata identificata una vulnerabilit\u00e0 nel motore browser Gecko (CVE-2026-6770), che consente di generare identificatori unici per il monitoraggio dell'apertura di diversi siti da un unico browser. Il problema si manifesta in tutti i browser basati su Firefox, incluso Tor Browser, e funziona anche in modalit\u00e0 di navigazione privata. Gli identificatori sono validi all'interno del processo corrente del browser e vengono azzerati dopo il riavvio del browser. La vulnerabilit\u00e0 \u00e8 stata corretta nelle versioni Firefox 150\/140.10.0 e Tor Browser 15.0.10. <\/p>\n
Per generare un identificatore, \u00e8 sufficiente creare attraverso l'API IndexedDB la stessa sequenza di database su siti diversi e poi valutare l'ordine in cui questi database vengono restituiti dalla chiamata al metodo indexedDB.databases(). Per diverse istanze del browser, l'ordine di enumerazione dei database sar\u00e0 differente, ma per una singola istanza sar\u00e0 ripetuto. Questo ordine si mantiene fino al riavvio del browser e si riproduce indipendentemente dal sito web aperto. <\/p>\n
Ad esempio, dopo aver creato il database \u00aba,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r\u00bb in un'istanza di Firefox, il metodo indexedDB.databases() restituir\u00e0 sempre \u00abg,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k\u00bb in un'altra istanza \u2014 \u00abj,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l\u00bb. Creando 16 database si possono ottenere circa 44 bit di entropia per l'identificazione. La generazione dell'identificatore non \u00e8 influenzata dalla pulizia degli archivi locali del browser e dall'aggiornamento della catena di nodi Tor con il pulsante \u00abNew Identity\u00bb nel Tor Browser. Questo metodo pu\u00f2 essere utilizzato anche per identificare gli utenti in una finestra di navigazione privata. <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da una peculiarit\u00e0 nell'implementazione dell'API IndexedDB, in cui l'ordine di enumerazione dei database \u00e8 influenzato dalla disposizione delle strutture interne, specifica per ogni istanza del processo del browser. L'ordine degli elementi nell'elenco dei database restituito dal metodo indexedDB.databases() non dipende dai nomi dei database o dall'ordine di creazione degli stessi, ma dalla posizione nella tabella hash globale degli UUID hash interni associati ai nomi dei file in cui i database sono memorizzati sul disco. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"