Një vulnerabilitet është zbuluar në motorin e shfletuesit Gecko (CVE-2026-6770), i cili lejon formimin e identifikuesve unikë për të ndjekur hapjen e disa faqeve nga e njëjta shfletues. Problemi shfaqet në të gjithë shfletuesit që bazohen në Firefox, duke përfshirë Tor Browser, dhe funksionon edhe në modalitetin e shikimit privat. Identifikuesit veprojnë brenda procesit aktual të shfletuesit dhe cënohen pas rinisjes së tij. Vulnerabiliteti është rregulluar në lëshimet Firefox 150/140.10.0 dhe Tor Browser 15.0.10.
Për të formuar një identifikues, mjafton të krijoni në faqe të ndryshme përmes API-së IndexedDB një të njëjtën sekuencë të DB-ve, pas kësaj vlerësohet rendi i ndjekjes së këtyre DB-ve si rezultat i thirrjes së metodës indexedDB.databases(). Për instancat e ndryshme të shfletuesit, rendi i listimit të DB-ve do të ndryshojë, por për një — do të përsëritet. Ky rend ruhet deri në rinisjen e shfletuesit dhe riprodhohet pavarësisht nga faqja që hapet.
Për shembull, pas krijimit të DB-së "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" në një instancë të Firefox, metoda indexedDB.databases() gjithmonë do të kthejë "g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k", ndërsa në një instancë tjetër — "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l". Duke krijuar 16 DB, mund të fitohet rreth 44 bit entropi për identifikim. Krijimi i identifikuesit nuk ndikohet nga pastrimi i depozitave të shfletuesit lokal dhe azhurnimi i zinxhirit të nyjave Tor me butonin "New Identity" në Tor Browser. Metoda mund të përdoret gjithashtu për identifikimin e përdoruesve në dritaren e shikimit privat.
Vulnerabiliteti shkaktohet nga veçoritë e zbatimit të API-së IndexedDB, ku rendi i ndjekjes së DB-ve ka ndikim nga struktura e brendshme, specifike për çdo instancë të procesit të shfletuesit. Rendi i elementeve në listën e DB-ve, që kthehet nga metoda indexedDB.databases(), nuk varet nga emrat e DB-ve apo rendi i krijimit të tyre, por nga pozita në tabelën globale të hash-it të UUID-ve të brendshme, të asociuar me emrat e skedarëve në të cilët ruhet DB-ja në disk.
Burimi: opennet.ru
