Probleme pentru produsele Apple: eroarea periculoasă care îți fură datele

Defectul afectează și browserele terțe de pe iPhone și iPad.

O eroare gravă în browserul Safari dezvăluită în această postare de blog a lui FingerprintJS, poate dezvălui informații despre istoricul tău recent de navigare și chiar unele informații despre contul Google conectat.

O eroare în implementarea IndexedDB de la Safari pe Mac și iOS înseamnă că un site web poate vedea numele bazelor de date pentru orice domeniu, nu doar pentru al său. Numele bazei de date pot fi apoi folosit pentru a extrage informații de identificare dintr-un tabel de căutare. Poți încerca singur cu acest demo live.

De exemplu, serviciile Google stochează o instanță IndexedDB pentru fiecare dintre conturile tale conectate, cu numele bazei de date corespunzător ID-ului tău de utilizator Google.

Folosind exploatarea descrisă în postarea de pe blog, cineva rău intenționat ar putea să răzuiască ID-ul de utilizator Google și apoi să folosească acel ID pentru a afla alte informații personale despre tine, deoarece ID-ul este folosit pentru a face solicitări API către serviciile Google.

O problemă delicată

Dovada de concept păstrează doar un tabel de căutare de aproximativ 30 de nume de domenii, totuși nu există niciun motiv pentru care tehnica nu ar putea fi aplicată la un set mult mai mare. Aproape orice site web care utilizează API-ul JavaScript IndexedDB ar putea fi vulnerabil la o astfel de eliminare a datelor.

Vulnerabilitatea constă în faptul că numele tuturor bazelor de date IndexedDB sunt disponibile pentru orice site, chiar dacă accesul la conținutul real al fiecărei baze de date este restricționat. Remedierea, și comportamentul corect observat pe alte browsere precum Chrome, ar fi că un site web poate vedea numai bazele de date create cu același nume de domeniu ca al său.

Toate versiunile actuale de Safari pe iPhone, iPad și Mac sunt exploatabile. FingerprintJS spune că a raportat eroarea la Apple pe 28 noiembrie, dar nu a fost încă rezolvată.