Головна » Технології / Новини ІТ » В браузері Apple Safari 15 виявили критичну проблему

У Safari 15 на macOS та у всіх версіях браузера на iOS та iPadOS 15 API IndexedDB порушує політику єдиного джерела. IndexedDB – це API-інтерфейс браузера для зберігання на стороні клієнта, призначений для зберігання значних обсягів даних. Він підтримується у всіх основних браузерах і часто використовується. Оскільки IndexedDB – це низькорівневий API, багато розробників вважають за краще використовувати оболонки, які абстрагують більшість технічних аспектів і надають більш простий у використанні та зручний для розробників API.




Як діє уразливість в Safari 15?

Щоразу, коли вебсайт взаємодіє з базою даних, створюється нова (порожня) база даних з тим самим ім’ям у всіх інших активних кадрах, вкладках та вікнах в рамках одного сеансу браузера. Вікна та вкладки зазвичай використовують один і той самий сеанс. Це якщо ви не переключитеся на інший профіль, наприклад, у Chrome, або не відкриєте приватне вікно.

Факт, що імена баз даних просочуються з різних джерел, є очевидним порушенням конфіденційності. Він дозволяє довільним вебсайтам дізнаватися, які сайти відвідує користувач у різних вкладках або вікнах. Це можливо, оскільки імена баз даних зазвичай є унікальними і залежать від вебсайту. А в деяких випадках вебсайти використовують унікальні ідентифікатори користувача в іменах баз даних. Це означає, що автентифіковані користувачі можуть бути точно ідентифіковані. Як приклад, YouTube, Google Календар або Google Keep. Всі ці сайти створюють бази даних, які місстять автентифікований ідентифікатор користувача Google. І якщо користувач увійшов до декількох облікових записів, бази даних створюються для всіх цих облікових записів.

Це не тільки означає, що ненадійні або шкідливі вебсайти можуть дізнатися особистість користувача, але також дозволяє зв’язати разом кілька окремих облікових записів, що використовуються одним і тим самим користувачем.

Зверніть увагу, що ці витоки не вимагають будь-яких конкретних дій користувача. Вкладка або вікно, що працює у фоновому режимі і постійно запитує доступні бази даних IndexedDB API, може дізнатися, які інші вебсайти відвідує користувач у режимі реального часу. Крім того, вебсайти можуть відкривати будь-який сайт в iframe або спливному вікні, щоб викликати витік на основі IndexedDB для цього конкретного сайту.

Єдиний варіант захисту – це оновлення браузера Safari 15 після випуску оновлення Apple.

Якщо Ви знайшли помилку, будь ласка, виділіть фрагмент тексту та натисніть Ctrl+Enter.
Поділитися:
Правила коментування

Вітаємо Вас на сайті Pingvin Pro. Ми докладаємо всіх зусиль, аби переконатися, що коментарі наших статей вільні від тролінгу, спаму та образ. Саме тому, на нашому сайті включена премодерація коментарів. Будь ласка, ознайомтеся з кількома правилами коментування.

  1. Перш за все, коментування відбувається через сторонній сервіс Disqus. Модератори сайту не несуть відповідальність за дії сервісу.
  2. На сайті ввімкнена премодерація. Тому ваш коментар може з’явитися не одразу. Нам теж інколи треба спати.
  3. Будьте ввічливими – ми не заохочуємо на сайті грубість та образи. Пам’ятайте, що слова мають вплив на людей! Саме тому, модератори сайту залишають за собою право не публікувати той чи інший коментар.
  4. Будь-які образи, відкриті чи завуальовані, у бік команди сайту, конкретного автора чи інших коментаторів, одразу видаляються. Агресивний коментатор може бути забанений без попереджень і пояснень з боку адміністрації сайту.
  5. Якщо вас забанили – на це були причини. Ми не пояснюємо причин ані тут, ані через інші канали зв’язку з редакторами сайту.
  6. Коментарі, які містять посилання на сторонні сайти чи ресурси можуть бути видалені без попереджень. Ми не рекламний майданчик для інших ресурсів.
  7. Якщо Ви виявили коментар, який порушує правила нашого сайту, обов’язково позначте його як спам – модератори цінують Вашу підтримку.

Схожі новини

Новини ІТ

Google закриває офіс на росії і оголосить дочірню компанію банкрутом: що тут не так?

Компанія Google вивела більшу частину своїх співробітників з росії. А також найближчим часом припинить комерційну присутність у країні-терористі. Але, як стає цілком очевидно, – це ажніяк не бажання підтримати Україну! Просто російська нацистська федерація залишає компанію без грошей до існування на її території… Підписуйтесь на наш Telegram-канал Android-користувачі Google Chrome з росії більше не можуть […]


Новини ІТ

YouTube додав нову функцію для визначення частин відео, які переглядають найчастіше

YouTube додав нову функцію відтворення для свого вебпрогравача та мобільних додатків. Вона допомагає користувачам визначати частини відео, які вони переглядають найчастіше. Підписуйтесь на наш Telegram-канал Надалі, у верхній частині панелі перебігу відео зʼявиться сірий графік. За словами розробників YT, якщо графік високий, то ця частина відео часто відтворювалась. Користувачі зможуть використовувати графік, щоб швидко знайти […]


Повідомити про помилку

Текст, який буде надіслано нашим редакторам: