网易首页 > 网易科技 > 通讯 > 正文

苹果Safari浏览器被曝漏洞 或泄露浏览活动和谷歌账户信息

0
分享至

1月18日消息,据外媒报道,防欺诈服务提供商FingerprintJS调查发现,苹果浏览器Safari 15中的一个漏洞可能会泄露用户的浏览活动,还可能泄露谷歌账户上的某些个人信息。

这个漏洞源于苹果推出的IndexedDB,它是可在浏览器上存储数据的应用程序编程接口(API)。FingerprintJS解释称,IndexedDB遵守同源策略,该策略限制一个源与其他源收集的数据交互。本质上,只有生成数据的网站才能访问它。

举例来说,如果您在某个选项卡中打开电子邮件帐户,然后在另一个选项卡中打开恶意网页,同源策略会阻止恶意页面查看和干预用户的电子邮件。

FingerprintJS发现,苹果在Safari 15中应用IndexedDB API实际上违反了同源策略。当网站与Safari中的数据库交互时,FingerprintJS称:“在同一浏览器会话中的所有其他活动框架、选项卡和窗口中都会创建一个同名的新(空)数据库。”

这意味着,其他网站可以看到用户在不同网站上创建的其他数据库名称,其中可能包含特定于其身份的详细信息。FingerprintJS注意到,当用户浏览需要谷歌帐户的网站时,如YouTube、Google Calendar和Google Keep等,都会生成名称中包含用户唯一谷歌账户ID的数据库。这个ID允许谷歌访问用户的公开信息,比如其个人资料,而Safari漏洞可能会将这些信息暴露给其他网站。


谷歌Chrome浏览器团队的Web开发倡导者杰克·阿奇博尔德(Jake Archibald)称:“这是个巨大的漏洞。在OSX上,Safari用户可以(暂时)切换到另一个浏览器,以避免他们的数据跨来源泄露。而IOS用户没有这样的选择,因为苹果对其他浏览器引擎实施了禁令。”

为了衡量漏洞的严重程度,FingerprintJS检查了访问量最高的1000个网站主页,如Instagram、Netflix、Twitter和Xbox等,其中有30多个网站直接在其主页上与索引数据库交互,而不需要任何额外的用户交互或身份验证。实际上,这个数字可能要高得多,特别是当用户开始访问其他页面或与该站点进行交互时。

FingerprintJS对此进行了概念验证演示,如果用户在Mac、iPhone或iPad上安装了Safari 15或更新版本,则可以自己尝试。该演示利用浏览器的IndexedDB漏洞识别用户已打开(或最近打开)的网站,并显示利用该漏洞的网站如何从谷歌用户ID中窃取信息。

这个漏洞会影响macOS上的Safari,以及iOS和iPadOS上的所有浏览器。这意味着,如果你拥有苹果设备,就有可能存在风险。

坏消息是,在苹果修复漏洞之前,人们无法避免这个问题,因为FingerprintJS称这个漏洞也会影响Safari上的“隐私浏览”模式。你可以在MacOS上使用不同的浏览器,但苹果在iOS上禁止第三方浏览器引擎意味着所有浏览器都会受到影响。FingerprintJS已经向WebKit Bug Tracker报告了其发现。

好消息是,苹果已经开始着手解决这个问题。该公司已经将FingerprintJS报告的问题标记为“已解决”,但该修复还没有真正向终端用户发布。在此之前,最好还是在macOS上使用其他浏览器。(小小)

延伸阅读
相关推荐
热点推荐
紧迫关头到了!国家12万亿刺激经济!6月份是买房最好的时机!

紧迫关头到了!国家12万亿刺激经济!6月份是买房最好的时机!

言值都市圈
2022-05-27 19:12:57
复活啦!俄“阵亡”少将公开获勋,乌克兰究竟是怎样欺骗世界的?

复活啦!俄“阵亡”少将公开获勋,乌克兰究竟是怎样欺骗世界的?

军武次位面
2022-05-25 20:29:46
《浪姐3》又搞事情!靠王心凌捞66亿,那英:不是她走就是我走

《浪姐3》又搞事情!靠王心凌捞66亿,那英:不是她走就是我走

五颗星娱乐圈
2022-05-27 19:06:54
越南《基层民主法》:用实施成果考评官员

越南《基层民主法》:用实施成果考评官员

客观记事
2022-05-27 15:24:18
黄鹤楼(1916硬盒)香烟介绍

黄鹤楼(1916硬盒)香烟介绍

博览纵横
2022-05-28 07:00:42
越南主席:督察团的人就坐在那玩,除了喝水几乎没有发现

越南主席:督察团的人就坐在那玩,除了喝水几乎没有发现

客观记事
2022-05-27 08:55:01
A股:这6只潜力股将迎来大股东增持,下周开盘盯住了!(附名单)

A股:这6只潜力股将迎来大股东增持,下周开盘盯住了!(附名单)

我的旅行记
2022-05-27 20:19:25
库里解释为什么不向勇士施压以寻求更多帮助:这不是我的运作方式

库里解释为什么不向勇士施压以寻求更多帮助:这不是我的运作方式

赛车世界杂谈
2022-05-28 08:16:08
离婚一个月后发现怀孕,我赌气没告诉前夫,3年后去他家我好后悔

离婚一个月后发现怀孕,我赌气没告诉前夫,3年后去他家我好后悔

韩玥故事集
2022-05-27 18:41:28
首页图标不见了!支付宝 iOS 版 10.2.64 更新

首页图标不见了!支付宝 iOS 版 10.2.64 更新

IT之家
2022-05-27 21:31:36
对华政策变了?韩国加速部署萨德系统,并将在半导体领域针对中国

对华政策变了?韩国加速部署萨德系统,并将在半导体领域针对中国

张春谈财经
2022-05-27 15:06:15
四川一女儿六一表演,妈妈用5种蔬菜搭配时尚套装,头饰项链全齐

四川一女儿六一表演,妈妈用5种蔬菜搭配时尚套装,头饰项链全齐

人类幼崽饲养指南
2022-05-27 22:37:06
中国足球成笑话!上赛季7支降级球队没一支降级,4支递补3支解散

中国足球成笑话!上赛季7支降级球队没一支降级,4支递补3支解散

代古龙侃球
2022-05-27 14:35:22
天呢!马克龙又去“跑腿”了

天呢!马克龙又去“跑腿”了

朝三暮四
2022-05-27 13:35:12
俄罗斯亮出底牌:如果西方解除制裁,俄罗斯就出口粮食化肥

俄罗斯亮出底牌:如果西方解除制裁,俄罗斯就出口粮食化肥

鲁晓芙看欧洲
2022-05-28 07:11:23
价格稍贵:俄罗斯总统告诉俄罗斯富人,他们可以像过去那样购买奢侈品

价格稍贵:俄罗斯总统告诉俄罗斯富人,他们可以像过去那样购买奢侈品

噜噜噻
2022-05-27 23:56:47
亚洲最强战机即将横空出世?性能远超歼20,可指挥集群无人机作战

亚洲最强战机即将横空出世?性能远超歼20,可指挥集群无人机作战

霹雳火军事
2022-05-27 00:44:42
武汉第一美女,面若桃花、倾城倾国

武汉第一美女,面若桃花、倾城倾国

旧城说娱
2022-05-27 16:02:00
科学家在沿海海床下发现蔗糖堆,并表示:一旦分解,后果很严重

科学家在沿海海床下发现蔗糖堆,并表示:一旦分解,后果很严重

科学探索菌
2022-05-27 12:52:26
《传家》原著:席维安到底多爱钟灵,全部藏在他对小妾的态度里

《传家》原著:席维安到底多爱钟灵,全部藏在他对小妾的态度里

出圈热娱
2022-05-28 01:15:39
2022-05-28 10:16:49

科技要闻

2亿多人在线,罗大佑孙燕姿刷屏,腾讯字节抢流量

头条要闻

乌军遭遇重大挫折 泽连斯基顾问:俄军战术水平在提高

头条要闻

乌军遭遇重大挫折 泽连斯基顾问:俄军战术水平在提高

体育要闻

库里身边的最强蓝领,曾被叫作小杜兰特

娱乐要闻

杜海涛沈梦辰现身,女方遮肚被疑有孕

财经要闻

汽车要闻

宝马入门后驱轿跑 配新7系曲面大屏还不到30万

态度原创

健康
艺术
游戏
教育
手机

吃盐太多真的会变丑?

艺术要闻

大英博物馆里的“女性力量”

《暗黑不朽》全球上线时间表公布

教育要闻

来自吴勇工作室的人教版插图被写进硕士论文赞个性鲜明,论文导师为吴勇

手机要闻

曝三星新Exynos芯片研发中,旗舰、中端都有

进入关怀模式
×