{"id":762261,"date":"2023-10-22T21:29:09","date_gmt":"2023-10-23T03:29:09","guid":{"rendered":"https:\/\/blogging-techies.com\/sw\/apple-safari-bugg-lacker-anvandarens-surfdata\/"},"modified":"2023-10-22T21:29:09","modified_gmt":"2023-10-23T03:29:09","slug":"apple-safari-bugg-lacker-anvandarens-surfdata","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/sw\/apple-safari-bugg-lacker-anvandarens-surfdata\/","title":{"rendered":"Apple Safari-bugg l\u00e4cker anv\u00e4ndarens surfdata"},"content":{"rendered":"

En felaktig implementering av ett allm\u00e4nt anv\u00e4nt API i Apples WebKit \u00e4r nu ansvarigt f\u00f6r l\u00e4ckage av k\u00e4nslig data som lagras i webbl\u00e4sare som anv\u00e4nder den.<\/strong><\/p>\n

Som rapporterats av FingerprintJS-forskare p\u00e5verkas webbl\u00e4saren Safari v15 som anv\u00e4nder WebKit p\u00e5 iOS, macOS och iPadOS av detta. Dessutom p\u00e5verkas Chrome, Brave och andra webbl\u00e4sare som anv\u00e4nder samma webbl\u00e4sarmotor av detta. Eftersom Apple \u00e4nnu inte har l\u00f6st problemet, har forskare inf\u00f6rt n\u00e5gra begr\u00e4nsningsf\u00f6rfaranden fram till dess.<\/p>\n

<\/span>Safari-fel p\u00e5 iOS<\/strong><\/span><\/h2>\n

Eftersom webbl\u00e4sare \u00e4r porten till Internet anv\u00e4nder deras skapare en m\u00e4ngd olika verktyg i sin kod f\u00f6r att lagra information och bearbeta data som m\u00f6ter andras behov. Och om det finns en felaktig konfiguration av n\u00e5gon av dem inuti kan det leda till allvarliga s\u00e4kerhets- och integritetsproblem.<\/p>\n

En komponent i Apples WebKit orsakar nu dessa o\u00f6nskade problem. och det heter Indexerad databas <\/strong>\u2013 ett webbl\u00e4sar-API som anv\u00e4nds i stor utstr\u00e4ckning av webbl\u00e4sartillverkare f\u00f6r lagring p\u00e5 klientsidan och cachelagring av webbapplikationsdata f\u00f6r offlinevisning.<\/p>\n

Och f\u00f6r att f\u00f6rhindra cross-site scripting-attacker anv\u00e4nder IndexedDB en “samma ursprung”-policy, en metod d\u00e4r den bara till\u00e5ter kvalificerade verktyg och webbplatser att komma \u00e5t viss data som lagras p\u00e5 den. Samtidigt som de lovade, uppt\u00e4ckte FingerprintJS-forskare att IndexedDB API inte f\u00f6ljer samma ursprungspolicy i Safari 15:s WebKit p\u00e5 macOS.<\/strong><\/p>\n

Och iOS-webbl\u00e4sare fr\u00e5n tredje part (som Chrome f\u00f6r iOS, Brave f\u00f6r iOS, etc.) som anv\u00e4nder samma motor p\u00e5 iOS och iPad OS p\u00e5verkas ocks\u00e5. Forskarna uppgav att denna brist kan till\u00e5ta vilken webbplats som helst att komma \u00e5t databasnamn skapade i samma session.<\/p>\n

Och det kan finnas en l\u00e4cka av anv\u00e4ndarspecifika identifierare om unika databasnamn skapas, p\u00e5 grund av olika profiler.<\/strong> I slut\u00e4ndan leder detta till anv\u00e4ndaridentifierbar data, som hackare kan anv\u00e4nda f\u00f6r ytterligare exploatering.<\/p>\n

F\u00f6r att kontrollera inverkan av buggen p\u00e5 din webbl\u00e4sare, bes\u00f6k den h\u00e4r demosidan f\u00f6r att \u00e5terskapa API-l\u00e4ckan.<\/strong> Forskare rapporterade detta problem till WebKit Bug Tracker den 28 november 2021 och det har inte \u00e5tg\u00e4rdats f\u00f6rr\u00e4n nu. S\u00e5 den tillf\u00e4lliga begr\u00e4nsningen tills Apple kommer med en patch \u00e4r;<\/p>\n