Vazamento do Safari 15 devido ao bug IndexedDB do WebKit

O Safari 15 contém uma vulnerabilidade que expõe a atividade do usuário na web e os rótulos privados. Tudo devido a uma API construída incorretamente que armazena informações em computadores. O Fingerprint JS, um serviço de detecção de fraudes, descobriu o problema e notificou os engenheiros do WebKit. Além de fornecer um repositório de código aberto.

Leia também: Este casal de Tamil Nadu sediará uma recepção de casamento no Metaverse

Bug de banco de dados indexado

O problema não é novo. Como a equipe ainda está trabalhando no mesmo problema de 28 de novembro do ano anterior. O grupo Fingerprint JS concorda em criar a descoberta pública para acelerar o processo de reparo. A API JavaScript de nível mínimo IndexedDB, que é amplamente utilizada, segue o princípio da mesma origem. Ele afirma que documentos ou scripts de uma origem não devem se envolver com recursos de outras origens.

Por motivos compreensíveis, como se você usar uma única guia para visitar o banco de um usuário em outro site perigoso. Então, uma página da Web visualizada na primeira guia do computador não deve ser capaz de comunicar dados com a segunda guia.

Banco de dados Safari 15

No entanto, na instância desse banco de dados indexado, as páginas individuais realmente se comunicam, colocando o indivíduo em risco. Sempre que um site se envolve com um banco de dados (DB) no Safari 15, ele usa IndexedDB. Em seguida, novos bancos de dados vazios com um nome semelhante são produzidos em todos os quadros, páginas e janelas atuais. Como consequência, outros sites agora têm o aos nomes dos bancos de dados. A falha do Safari pode revelar dados publicamente íveis de uma conta do Google, por exemplo.

O nome do banco de dados incluirá o ID de usuário do Google distinto dos usuários que estão fazendo em suas contas do Gmail. Se os sites rasparem o nome de do Google e o utilizarem para recuperar detalhes pessoais. Em seguida, você pode usar esses IDs de banco de dados para recuperar detalhes identificáveis ​​de uma tabela de pesquisa. Um site não autorizado pode não apenas descobrir as informações de um usuário, mas também reunir várias contas individuais do usuário exato.

Leia também: WhatsApp está apresentando novos recursos