Në motorin e shfletuesit Gecko është identifikuar një dobësi (CVE-2026-6770), e cila lejon krijimin e identifikuesve unikë për ndjekjen e hapjes së disa faqeve nga një shfletues i vetëm. Problemi shfaqet në të gjitha shfletuesit e bazuar në Firefox, duke përfshirë Tor Browser, dhe funksionon edhe në modin privat. Identifikuesit veprojnë brenda procesit aktual të shfletuesit dhe fshihen pas riaktivizimit të shfletuesit. Dobësia është eliminua në versionet e Firefox 150/140.10.0 dhe Tor Browser 15.0.10.
PĂ«r tĂ« krijuar njĂ« identifikues, mjafton tĂ« krijoni njĂ« sekuencĂ« tĂ« njĂ«jtĂ« BD-sĂ« nĂ«pĂ«rmjet API IndexedDB nĂ« vende tĂ« ndryshme, pas sĂ« cilĂ«s duhet tĂ« vlerĂ«soni radhĂ«n e kĂ«tyre BD-ve si rezultat i thirrjes sĂ« metodĂ«s indexedDB.databases(). PĂ«r instanca tĂ« ndryshme tĂ« shfletuesit, radhitja e BD-ve do tĂ« jetĂ« e ndryshme, por pĂ«r njĂ« tĂ« vetĂ«m â do tĂ« pĂ«rsĂ«ritet. NjĂ« radhĂ« e tillĂ« ruhet deri nĂ« riaktualizimin e shfletuesit dhe riprodhohet pavarĂ«sisht nga faqja qĂ« hapet.
PĂ«r shembull, pas krijimit tĂ« DB-sĂ« "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" nĂ« njĂ« ekzemplar tĂ« Firefox, metoda indexedDB.databases() do tĂ« kthejĂ« gjithmonĂ« "g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k" nĂ« njĂ« ekzemplar tjetĂ«r â "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l". Duke krijuar 16 DB, mund tĂ« merrni rreth 44 bit entropi pĂ«r identifikim. Pastrimi i ruajtjeve lokale tĂ« shfletuesit dhe azhurnimi i rrjetit Tor me butonin "New Identity" nĂ« Tor Browser nuk ndikon nĂ« gjenerimin e identifikuesit. Metoda gjithashtu mund tĂ« pĂ«rdoret pĂ«r identifikimin e pĂ«rdoruesve nĂ« dritaren e shikimit privat.
Dobësia shkaktohet nga veçoritë e implementimit të API-t IndexedDB, ku rendi i DB-ve ndikohet nga aranzhimi i strukturave brenda, specifike për çdo ekzemplar të procesit të shfletuesit. Renditja e elementeve në listën e DB-ve, e kthyer nga metoda indexedDB.databases(), nuk varet nga emrat e DB-ve apo rendi i krijimit të tyre, por nga pozita në tabela globale të hash-it për UUID-të e brendshëm të asociuar me emrat e skedarëve, në të cilët ruhen DB-të në disk.
Burimi: opennet.ru
