{"id":169865,"date":"2026-04-23T18:24:28","date_gmt":"2026-04-23T16:24:28","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser"},"modified":"2026-04-23T18:24:28","modified_gmt":"2026-04-23T16:24:28","slug":"uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-api-indexeddb-pozvolyayushhaya-identificzirovat-polzovatelej-firefox-i-tor-browser","title":{"rendered":"Kwetsbaarheid in de API IndexedDB, waardoor gebruikers van Firefox en Tor Browser kunnen worden ge\u00efdentificeerd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de browserengine Gecko is een kwetsbaarheid ontdekt (CVE-2026-6770), die het mogelijk maakt om unieke identificatoren te cre\u00ebren voor het volgen van het openen van verschillende sites vanuit dezelfde browser. Het probleem doet zich voor in alle op Firefox gebaseerde browsers, inclusief Tor-browser, en werkt zelfs in de incognitomodus. Identificatoren zijn geldig binnen het huidige browserproces en worden gereset na het opnieuw opstarten van de browser. De kwetsbaarheid is verholpen in de versies Firefox 150\/140.10.0 en Tor-browser 15.0.10. <\/p>\n
Voor het genereren van een identificator is het voldoende om op verschillende websites via de API IndexedDB dezelfde volgorde van databases aan te maken, waarna de volgorde van deze databases kan worden beoordeeld als resultaat van het aanroepen van de methode indexedDB.databases(). Voor verschillende browserinstanties zal de volgorde van de lijsten van databases verschillen, maar voor \u00e9\u00e9n instantie zal deze herhaald worden. Deze volgorde blijft behouden tot de browser opnieuw wordt opgestart en wordt gereproduceerd, ongeacht de geopende website. <\/p>\n
Bijvoorbeeld, na het cre\u00ebren van de database «a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r» in \u00e9\u00e9n instantie van Firefox, zal de methode indexedDB.databases() altijd «g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k» retourneren, terwijl in een andere instantie «j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l» zal zijn. Bij het aanmaken van 16 databases kan men ongeveer 44 bits aan entropie verkrijgen voor identificatie. De generatie van de identificator wordt niet be\u00efnvloed door het wissen van lokale browseropslag en het vernieuwen van de Tor-ketens met de knop «New Identity» in de Tor-browser. Deze methode kan ook worden gebruikt voor de identificatie van gebruikers in een priv\u00e9-browsingvenster. <\/p>\n
De kwetsbaarheid wordt veroorzaakt door een eigenaardigheid in de implementatie van de API IndexedDB, waarbij de volgorde van de databases wordt be\u00efnvloed door de lay-out van interne structuren, die specifiek zijn voor elke instantie van het browserwerkproces. De volgorde van de elementen in de lijst van databases, die door de methode indexedDB.databases() wordt teruggegeven, hangt niet af van de namen van de databases of de volgorde van hun aanmaak, maar van de plaatsing in de globale hashtabel van interne UUID-hashes, die zijn geassocieerd met de bestandsnamen waarin de databases op de schijf zijn opgeslagen. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"