Исследователи нашли уязвимость в последней версии браузера Safari на всех устройствах Apple. При посещении сайтов система раскрывает данные, которые были сохранены в браузере, другими сайтам. Об этом сообщается на сайте компании из сферы идентификации браузеров FingerprintJS. На iPhone и iPad уязвимость проявляется во всех браузерах, так как Apple обязывает других производителей использовать движок Safari. Специалисты по безопасности уведомили Apple об ошибке еще 28 ноября 2021 года, но ее до сих пор не устранили.

В FingerprintJS подчеркнули, что защитить свои данные можно будет, обновив браузер или операционную систему, как только проблема будет решена Apple.

Уязвимость в Safari связана с механизмом IndexedDB. Он придерживается принципа одинакового источника (same-origin policy). Благодаря ему только веб-сайт, который генерирует данные, может иметь доступ к ним. FingerprintJS обнаружил, что в Safari 15 этот принцип не соблюдается. Когда веб-сайт взаимодействует с базой данных в Safari, во всех других активных вкладках создается пустая база данных с тем же именем. Таким образом, сторонние сайты могут узнавать, какие данные вводит пользователь.

Из-за ошибки Safari может предоставлять другим веб-сайтам доступ к обширным базам данных Google. Все сайты, использующие учетную запись Google, такие как YouTube, Календарь, Google Keep, создают базы данных с уникальным идентификатором пользователя Google User ID. Получив логин, мошенники могут узнать не только имя пользователя, но и увидеть фотографию аккаунта.

Компания, обнаружившая уязвимость, создала сайт для ее демонстрации. Пользователи Safari версии 15 могут увидеть на нём свою недавнюю активность на таких сервисах, как «ВКонтакте», Instagram, Twitter и Netflix.

Последняя версия Safari вышла в сентябре прошлого года. Разработчики из Купертино представили самое большое число обновлений за все время существования браузера, в том числе кроссплатформенный механизм работы с группами вкладок для использования нескольких сайтов одновременно. Для управления группами вкладок появилось отдельное меню управления.