{"id":169865,"date":"2026-04-23T18:24:28","date_gmt":"2026-04-23T16:24:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser"},"modified":"2026-04-23T18:24:28","modified_gmt":"2026-04-23T16:24:28","slug":"uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","title":{"rendered":"Vulnerabilit\u00e0 nell'API IndexedDB che consente di identificare gli utenti di Firefox e Tor Browser","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata identificata una vulnerabilit\u00e0 (CVE-2026-6770) nel motore del browser Gecko che permette di generare identificatori unici per il tracciamento della navigazione su diversi siti web da un singolo browser. Questa problematica si manifesta in tutti i browser basati su Firefox, incluso Tor Browser, e funziona anche in modalit\u00e0 di navigazione privata. Gli identificatori sono validi all'interno dell'attuale processo del browser e vengono resettati dopo il riavvio del browser. La vulnerabilit\u00e0 \u00e8 stata risolta nelle versioni di Firefox 150\/140.10.0 e Tor Browser 15.0.10. <\/p>\n
Per generare un identificatore, \u00e8 sufficiente creare la stessa sequenza di database su diversi siti tramite l'API IndexedDB, dopodich\u00e9 si pu\u00f2 valutare l'ordine di compilazione di questi database come risultato della chiamata al metodo indexedDB.databases(). Per diverse istanze del browser, l'ordine di enumerazione dei database sar\u00e0 diverso, ma per una stessa istanza \u2014 rimarr\u00e0 identico. Tale ordine viene mantenuto fino al riavvio del browser e si riproduce indipendentemente dal sito aperto. <\/p>\n
Ad esempio, dopo aver creato il database \u00aba,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r\u00bb in un'istanza di Firefox, il metodo indexedDB.databases() restituir\u00e0 sempre \u00abg,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k\u00bb in un'altra istanza \u2013 \u00abj,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l\u00bb. Creando 16 database, si possono ottenere circa 44 bit di entropia per identificazione. La generazione dell'identificatore non viene influenzata dalla pulizia delle memorie locali del browser e dall'aggiornamento della catena dei nodi Tor premendo il pulsante \u00abNew Identity\u00bb nel Tor Browser. Questo metodo pu\u00f2 essere utilizzato anche per identificare gli utenti in una finestra di navigazione privata. <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da una particolarit\u00e0 nell'implementazione dell'API IndexedDB, dove l'ordine delle DB \u00e8 influenzato dalla disposizione delle strutture interne, specifica per ogni istanza del processo del browser. L'ordine degli elementi nella lista delle DB, restituita dal metodo indexedDB.databases(), non dipende dai nomi delle DB o dall'ordine di creazione delle DB, ma dalla posizione nella tabella hash globale degli UUID hash interni associati ai nomi dei file in cui le DB sono memorizzate su disco. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"