Un bug di WebKit nell’implementazione di un’API JavaScript chiamata IndexedDB può rivelare la nostra cronologia di navigazione recente e persino la nostra identità.
In poche parole, il bug consente a qualsiasi sito Web che utilizza IndexedDB di accedere ai nomi dei database IndexedDB generati da altri siti Web durante la sessione di navigazione di un utente. Il bug potrebbe consentire a un sito Web di tracciare altri siti Web visitati dall’utente in diverse schede o finestre, poiché i nomi dei database sono spesso univoci e specifici per ciascun sito Web.
Il comportamento corretto e normale dovrebbe essere che i siti Web possano accedere solo ai propri database IndexedDB.
In alcuni casi, i siti Web utilizzano identificatori univoci specifici dell’utente nei nomi di database IndexedDB. Ad esempio, YouTube crea database che includono l’ID utente Google autenticato di un utente nel nome e questo identificatore può essere utilizzato con le API di Google per recuperare informazioni personali sull’utente, come un’immagine del profilo. Queste informazioni personali potrebbero aiutare un malintenzionato a determinare l’identità di un utente.
Il bug riguarda le versioni più recenti dei browser che utilizzano WebKit, il motore di browser open source di Apple, inclusi Safari 15 per Mac e Safari su tutte le versioni di iOS 15 e iPadOS 15. Il bug riguarda anche browser di terze parti come Chrome su iOS 15 e iPadOS 15, poiché Apple richiede che tutti i browser utilizzino WebKit su iPhone e iPad. FingerprintJS ha condiviso un video del bug in cui rivela che i browser più vecchi come Safari 14 per Mac non sono colpiti dal problema.
FingerprintJS ha osservato che non è richiesta alcuna azione da parte dell’utente affinché un sito Web acceda ai nomi di database IndexedDB generati da altri siti Web.
Gli utenti dovranno attendere che Apple risolva il bug con gli aggiornamenti software. Nel frattempo, gli utenti di Safari 15 potrebbero passare temporaneamente a un browser diverso sul Mac, ma ciò non è possibile su iPhone o iPad poiché tutti i browser sono interessati dal bug WebKit su quei dispositivi.
Il bug è stato segnalato al WebKit Bug Tracker il 28 novembre.
Leggi o Aggiungi Commenti