Перейти к материалам
новости

Во всех браузерах на айфонах и айпадах (а также в Safari на macOS) нашли серьезную уязвимость. Она позволяет узнать историю браузера и данные пользователей Google

Источник: FingerprintJS
Andy Wong / AP / Scanpix / LETA

Исследователи компании FingerprintJS обнаружили серьезную уязвимость в браузере Safari версии 15, используемом в операционной системе macOS, а также во всех браузерах в операционных системах iOS 15 и iPadOS 15.

Уязвимость возникла из-за ошибки движка WebKit в реализации стандарта IndexedDB, интерфейса прикладного программирования (API), который хранит данные в браузере. Этот интерфейс позволяет сайтам сохранять базы данных на устройстве пользователя. Уязвимость затронула все браузеры на iOS и iPadOS, поскольку браузеры в этих операционных системах по требованию Apple обязаны использовать движок WebKit.

Из-за уязвимости сайты могут получить доступ к базам данных, созданных другими сайтами. Каждый раз, когда сайт взаимодействует с базой данных, новая пустая база данных с тем же именем создается во всех других активных фреймах, вкладках и окнах в рамках одной сессии браузера. Раскрытие имени базы данных позволяет произвольным сайтам узнать, какие интернет-страницы посещал пользователь.

«Медуза» заблокирована в России. Мы были к этому готовы — и продолжаем работать. Несмотря ни на что

Нам нужна ваша помощь как никогда. Прямо сейчас. Дальше всем нам будет еще труднее. Мы независимое издание и работаем только в интересах читателей.

В некоторых случаях сайты используют в именах баз данных уникальные идентификаторы, которые позволяют отождествить пользователя. Например, это касается сервисов Google, в том числе YouTube и календаря. Используя идентификатор пользователя Google (Google User ID), можно получить публичную личную информацию о владельце аккаунта, как минимум, фотографию профиля.

Исследователи обнаружили более 30 популярных сайтов, которые взаимодействуют с проиндексированными базами данных на своей домашней странице. Среди них — Instagram, YouTube, Netflix, Twitter, WhatsApp, «ВКонтакте». Компания FingerprintJS создала демонстрационный сайт, где можно увидеть, как сайты получают доступ к истории в браузере.

Представители FingerprintJS сообщили Apple об обнаруженной ошибке в конце ноября 2021 года, но с тех пор для Safari не выпускали обновлений. В Apple это не комментировали.

Александр Бакланов