In de browserengine Gecko is een kwetsbaarheid ontdekt (CVE-2026-6770), die het mogelijk maakt om unieke identificatoren te creëren voor het volgen van het openen van verschillende sites vanuit dezelfde browser. Het probleem doet zich voor in alle op Firefox gebaseerde browsers, inclusief Tor-browser, en werkt zelfs in de incognitomodus. Identificatoren zijn geldig binnen het huidige browserproces en worden gereset na het opnieuw opstarten van de browser. De kwetsbaarheid is verholpen in de versies Firefox 150/140.10.0 en Tor-browser 15.0.10.
Om een identificator te vormen, is het voldoende om op verschillende sites via de API IndexedDB dezelfde volgorde van databases aan te maken, waarna de volgorde van deze databases kan worden beoordeeld als resultaat van het aanroepen van de methode indexedDB.databases(). Voor verschillende browserinstellingen zal de volgorde van de enum te verschillend zijn, maar voor één instelling zal deze zich herhalen. Deze volgorde blijft behouden tot de browser opnieuw wordt opgestart en wordt gereproduceerd ongeacht de geopende site.
Bijvoorbeeld, na het aanmaken van de database "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" in één instantie van Firefox zal de methode indexedDB.databases() altijd "g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k" teruggeven, terwijl in een andere instantie het "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l" zal zijn. Bij het aanmaken van 16 databases kan men ongeveer 44 bits aan entropie krijgen voor identificatie. Het opschonen van lokale browseropslag en het vernieuwen van de Tor-knooppuntenketen met de knop "New Identity" in de Tor-browser heeft geen invloed op de generatie van de identificator. De methode kan ook worden gebruikt voor het identificeren van gebruikers in het incognitovenster.
De kwetsbaarheid wordt veroorzaakt door een eigenaardigheid in de implementatie van de API IndexedDB, waarbij de volgorde van de databases wordt beïnvloed door de lay-out van interne structuren, die specifiek zijn voor elke instantie van het browserwerkproces. De volgorde van de elementen in de lijst van databases, die door de methode indexedDB.databases() wordt teruggegeven, hangt niet af van de namen van de databases of de volgorde van hun aanmaak, maar van de plaatsing in de globale hashtabel van interne UUID-hashes, die zijn geassocieerd met de bestandsnamen waarin de databases op de schijf zijn opgeslagen.
Bron: opennet.ru
