The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимость в API IndexedDB, позволяющая идентифицировать пользователей Firefox и Tor Browser

23.04.2026 14:21 (MSK)

В браузерном движке Gecko выявлена уязвимость (CVE-2026-6770), позволяющая формировать уникальные идентификаторы для отслеживания открытия из одного браузера разных сайтов. Проблема проявляется во всех браузерах на основе Firefox, включая Tor Browser, и работает даже в режиме приватного просмотра. Идентификаторы действуют в рамках текущего процесса браузера и сбрасываются после перезапуска браузера. Уязвимость устранена в выпусках Firefox 150/140.10.0 и Tor Browser 15.0.10.

Для формирования идентификатора достаточно на разных сайтах создать через API IndexedDВ одну и ту же последовательность БД, после чего оценить порядок следования этих БД в результате вызова метода indexedDB.databases(). Для разных экземпляров браузера порядок перечисления БД будет отличаться, но для одного - повторяться. Подобный порядок сохраняется до перезапуска браузера и воспроизводится независимо от открываемого сайта.

Например, после создания БД "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" в одном экземпляре Firefox метод indexedDB.databases() всегда будет возвращать "g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k", а в другом экземпляре - "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l". При создании 16 БД можно получить около 44 бит энтропии для идентификации. На генерацию идентификатора не влияет очистка локальных браузерных хранилищ и обновление цепочки Tor-узлов кнопкой "New Identity" в Tor Browser. Метод также может использоваться для идентификации пользователей в окне приватного просмотра.

Уязвимость вызвана особенностью реализации API IndexedDВ, на порядок следования БД в которой влияет раскладка внутренних структур, специфичная для каждого экземпляра рабочего процесса браузера. Порядок элементов в списке БД, возвращаемом методом indexedDB.databases(), зависит не от имён БД или порядка создания БД, а от размещения в глобальной хэш-таблице внутренних UUID-хешей, ассоциированных с именами файлов, в которых хранятся БД на диске.

  1. Главная ссылка к новости (https://fingerprint.com/blog/f...)
  2. OpenNews: Релиз Firefox 145 с расширенной защитой от скрытой идентификации
  3. OpenNews: 5 критических уязвимостей в Chrome. Оценка работающих в Chrome методов скрытой идентификации
  4. OpenNews: В Firefox появится дополнительная защита от скрытой идентификации пользователей
  5. OpenNews: Применение метода атаки Rowhammer для создания уникальных идентификаторов
  6. OpenNews: 30% из тысячи крупнейших сайтов используют скрипты для скрытой идентификации
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65272-firefox
Ключевые слова: firefox, fingerprint
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (44) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 15:19, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    >Уязвимость устранена в выпусках...

    Это хорошо.
    Просто иногда удивляюсь, как некоторые специально не обновляют браузер/ОС, в современном интернете это недопустимо.
    Это в начале 00-х ещё можно было год сидеть на одной версии.

     
     
  • 2.5, Аноним (5), 15:28, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +14 +/
    Если бы браузер так и оставался просмотрщиком документов, а не средой для запуска непроверенного кода, написанного непонятно кем и зачем, то можно было бы спокойно на одной версии сидеть хоть 5 лет. Когда ты в последний раз парился об обновлении смотрелки PDF? Вот именно.

    Вся эта игра в кошки-мышки с попытками не допустить побега троянов из песочницы порядком задостала уже, на самом деле.

     
     
  • 3.6, Аноним (6), 15:38, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +7 +/
    это документы всегда исполняли произвольный код, ещё с 90х
     
     
  • 4.36, Аноним (36), 19:28, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не документы исполняли, а читалка. Причем некоторые читалки (на Линуксе) эту багофичу не поддерживали.
     
     
  • 5.45, Аноним (6), 20:22, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В случае с pdf, других вариантов у тебя нет -- он интерпретируемый и позволяет слишком много. И Ghostscript, у тебя установленный, примерно то же самое, что Adobe Flash. А так,  Netscape Navigator тоже распарсить html не мог без исполнения произвольного кода, а ведь, казалось бы, "просто текст".
     
  • 3.7, Фняк (?), 15:45, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +13 +/
    > Когда ты в последний раз парился об обновлении смотрелки PDF

    Ахахах, вот уж где дыр нашли чуть меньше чем во флэше, так это в просмотрщиках pdf

     
     
  • 4.29, Аноним (29), 18:23, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >> Когда ты в последний раз парился об обновлении смотрелки PDF
    > Ахахах, вот уж где дыр нашли чуть меньше чем во флэше, так это в просмотрщиках pdf

    Да персонаж просто не в курсе, что в PDF может быть и JavaScript, и даже видосы с аудио.

     
     
  • 5.31, Аноним (6), 18:55, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    PostScript сам по себе почище жс -- не было ни дня, чтобы в нём не нашли очередное исполнение произвольного кода. Человек, утверждающий, что программы просмотра PDF обновлять не нужно, совершенно безумен. В самом деле, это всегда был основной канал распространения малвари после адоб флеш.
     
  • 3.24, Аноним (1), 17:49, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >порядком задостала уже, на самом деле

    А какие есть варианты, сделать браузер такой, чтобы раз и навсегда оставался актуальным и безопасным и работал на всех ОС ?
    Такого не будет.
    Хотя глобально сейчас и так всего три браузера Firefox, Chrome (разные "скины" на chromium не в счёт) и Safari.
    Раньше были IE и Opera на своих движках но с быстрым развитием интернета и требованиями безопасности они уже не успели.
    https://www.google.com/intl/ru/chrome/other-platforms/
    https://www.firefox.com/ru/download/all/desktop-developer/

     
  • 3.43, Аноним (43), 19:54, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >последний раз парился об обновлении смотрелки

    в этой жизни примерно никогда, ведь обновление смотрели приходит из репы вместе со всем остальным.

     
  • 2.8, Аноним (8), 15:50, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Так не надо неделями держать браузер запущенным: попользовался - закрыл . Написано же при перезапуске сбрасывается .
     
     
  • 3.11, Аноним (11), 16:08, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    И мобилу на ночь выключать! А то не известно сколько там в темноте зубных врачей!
     
     
  • 4.18, Аноним (18), 17:04, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Это будет идеальный вариант
     
  • 4.32, Аноним (8), 18:57, 23/04/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 4.39, Аноним (36), 19:34, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Отключение мобилы в некоторых странах приводит к тому, что утром эта мобила сразу не включается, а только через несколько суток. А то, ведь, не известно сколько террористов прячется среди мирного населения и мечтает свергнуть узурпатора с трона.. Или это другое, xep-майор?
     
     
  • 5.42, Аноним (42), 19:46, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ооо, а че так можно было? Надо попробовать.
     
  • 2.9, Аноним (9), 15:59, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Просто иногда удивляюсь, как некоторые специально не обновляют браузер

    Обновление браузера - это канал утечки для идентификации юзера. Цепочка версий обновления - и есть тот идентификатор.

     
     
  • 3.15, Аноним (1), 16:27, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Так с 4.0 уже можно обновляться ?
    https://opennet.ru/29978-firefox
     
     
  • 4.34, Аноним (9), 19:11, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    У меня есть сертификат Мозилы за скачивание FF 3.0
     

  • 1.2, вах (ok), 15:20, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Для Firefox это не предел!

    "Релиз Firefox 150 с устранением 359 уязвимостей" (с) https://www.opennet.dev/opennews/art.shtml?num=65260

     
     
  • 2.3, Аноним (1), 15:25, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так в первом же абзаце написано, что уязвимость устранена в выпусках Firefox 150/140.10
     
     
  • 3.13, Аноним (13), 16:18, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А сколько уязвимостей оставили?
     
     
  • 4.22, aname (ok), 17:33, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А сколько надо?
     
     
  • 5.25, Аноним (25), 17:52, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Сколько скажут.
     
     
  • 6.41, aname (ok), 19:39, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Сколько скажут.

    Это про те, которые не должны найти сразу

     
  • 3.14, Аноним (14), 16:23, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А вы подумали, сколько они были открыты?! Прежде чем они были закрыты!!! Компенсацию за это  будут выплачивать? Нет.
    А в Chrome всё нормально!
     
     
  • 4.23, Аноним (1), 17:40, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Chrome в этом плане не сильно отличается от Firefox, в каждом релизе рассказывают сколько закрыли уязвимостей.
     
  • 4.33, Аноним (8), 19:02, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А в хроме на неопределённый срок решили вознаграждения за уязвимости не выплачивать - даже у гугла денег не хватит .
     
     
  • 5.35, Аноним (1), 19:12, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >не выплачивать

    Почему? https://bughunters.google.com
    https://opennet.ru/64978-google

     

  • 1.4, Bob (??), 15:26, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >действуют в рамках текущего процесса браузера и сбрасываются после перезапуска браузера

    даже с контейнерными вкладками?

     
  • 1.10, Смузихлеб забывший пароль (?), 16:02, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > включая Tor Browser, и работает даже в режиме приватного просмотра

    ви таки будете смеяться, но... )

     
  • 1.19, Аноним (19), 17:11, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Разве это проблема?
    Грамотные люди еще много лет назад советовали:
    browser.privatebrowsing.autostart true
    dom.indexedDB.privateBrowsing.enabled false

    То, что опеннет, после стольких лет толерантности к анонимам, теперь разрешает комментировать только с включенными скриптами и куками (с чего бы бы это вдруг?) - вот это *действительно* проблема. Теперь опеннет ждет судьба ЛОРа. А жаль!

     
     
  • 2.20, Аноним (20), 17:18, 23/04/2026 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 2.21, Аноним (6), 17:26, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Зачем она тебе вообще? user_pref("dom.indexedDB.enabled", false);
     
  • 2.26, Аноним (26), 17:53, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А чего там со слором? Был в той выгребной яме не помню сколько лет назад в последний раз.
     
     
  • 3.30, Аноним (30), 18:52, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > А чего там со слором? Был в той выгребной яме не помню сколько лет назад в последний раз.

    анонимуса там заблочили намного раньше, тогда и началось.

     
     
  • 4.38, Аноним (38), 19:34, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Тогда там и осталась сотня комментаторов на весь сайт?
     
     
  • 5.44, Аноним (30), 19:57, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    анонимуса забанили, и лор пересох
     
  • 2.37, Аноним (37), 19:32, 23/04/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.46, mma (?), 20:28, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Breaks Extensions: Major privacy and utility extensions, including uBlock Origin (version 1.14.0+), uMatrix, and sometimes NoScript, require IndexedDB to store filter lists and settings.
     
     
  • 3.47, Аноним (6), 21:06, 23/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Не могу подтвердить, не знаю, где ты это взял. Твоя нейронка сосёт? Может быть, опционально использует.
     

  • 1.27, Аноним (25), 17:54, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Случайная случайность.
     
  • 1.40, Аноним (38), 19:39, 23/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >из адресной строки
    >очистить куки текущего сайта

    Спасибо тебе, добрый человек закрытый полоумным ботом.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру