✔Уязвимость в Firefox позволяла отслеживать пользователей Tor - «Новости»

11 мая 2026 37 Новости / Сайтостроение / Преимущества стилей / Добавления стилей / Таблицы / Текст / Изображения 0

Проблема получила идентификатор CVE-2026-6770, и в Mozilla ей присвоили среднюю степень серьезности. Уязвимость уже исправлена в Firefox 150 и ESR 140.10.0, и разработчики Tor Project тоже выпустили патч в составе Tor Browser 15.0.10.

Как объясняют исследователи, корень проблемы крылся в API IndexedDB, который используется для хранения структурированных данных на стороне клиента. Когда сайт создает базы данных IndexedDB и затем запрашивает их список через indexedDB.databases(), Firefox возвращает их в порядке, определяемом внутренней структурой хеш-таблицы, а не в порядке создания.

В приватном режиме Firefox не использует имена БД напрямую, и вместо этого они маппятся в UUID через глобальную хеш-таблицу. Эта таблица привязана не к конкретному сайту, а ко всему процессу браузера, и сохраняется до тех пор, пока работает Firefox. Из-за этого порядок, в котором indexedDB.databases() отдает результаты, оказывается одинаков для любых сайтов в рамках одного процесса. Фактически этот порядок становится уникальным идентификатором.

В качестве примера специалисты описывают простую ситуацию: два разных сайта запускают один и тот же скрипт, который создает набор БД с фиксированными именами, а затем запрашивает их список. Оба сайта получают одинаковую пермутацию (список баз в одном и том же порядке), которая не меняется ни при перезагрузке страницы, ни при открытии новых приватных окон и даже после закрытия всех приватных окон (пока процесс Firefox продолжает работать).

Эксперты пишут, что если сайт контролирует 16 имен БД, число возможных пермутаций составляет 16!, что дает порядка 44 бит энтропии. Этого более чем достаточно для идентификации конкретного экземпляра браузера.

Для Tor Browser эта проблема оказалась особенно критичной, так как идентификатор способен «пережить» даже сброс сессии через функцию «New Identity», которая должна полностью обнулять состояние браузера, очищать cookie, историю и выстраивает новый маршрут через сеть Tor. То есть механизм, на который пользователи полагаются для разрыва связи между сессиями, переставал работать.

Исправление для этой проблемы оказалось простым: добавление сортировки результатов indexedDB.databases() в каноническом (например, лексикографическом) порядке перед возвратом, что позволяет не раскрывать внутреннее состояние хранилища.

Исследователи из компании FingerprintJS обнаружили уязвимость, которая затрагивает все браузеры на базе Firefox, включая Tor Browser. Проблема позволяет сайтам создавать стабильный идентификатор пользователя и отслеживать его активность между разными доменами без использования cookie, localStorage и каких-либо явных признаков трекинга. Проблема получила идентификатор CVE-2026-6770, и в Mozilla ей присвоили среднюю степень серьезности. Уязвимость уже исправлена в Firefox 150 и ESR 140.10.0, и разработчики Tor Project тоже выпустили патч в составе Tor Browser 15.0.10. Как объясняют исследователи, корень проблемы крылся в API IndexedDB, который используется для хранения структурированных данных на стороне клиента. Когда сайт создает базы данных IndexedDB и затем запрашивает их список через indexedDB.databases(), Firefox возвращает их в порядке, определяемом внутренней структурой хеш-таблицы, а не в порядке создания. В приватном режиме Firefox не использует имена БД напрямую, и вместо этого они маппятся в UUID через глобальную хеш-таблицу. Эта таблица привязана не к конкретному сайту, а ко всему процессу браузера, и сохраняется до тех пор, пока работает Firefox. Из-за этого порядок, в котором indexedDB.databases() отдает результаты, оказывается одинаков для любых сайтов в рамках одного процесса. Фактически этот порядок становится уникальным идентификатором. В качестве примера специалисты описывают простую ситуацию: два разных сайта запускают один и тот же скрипт, который создает набор БД с фиксированными именами, а затем запрашивает их список. Оба сайта получают одинаковую пермутацию (список баз в одном и том же порядке), которая не меняется ни при перезагрузке страницы, ни при открытии новых приватных окон и даже после закрытия всех приватных окон (пока процесс Firefox продолжает работать). Эксперты пишут, что если сайт контролирует 16 имен БД, число возможных пермутаций составляет 16!, что дает порядка 44 бит энтропии. Этого более чем достаточно для идентификации конкретного экземпляра браузера. Для Tor Browser эта проблема оказалась особенно критичной, так как идентификатор способен «пережить» даже сброс сессии через функцию «New Identity», которая должна полностью обнулять состояние браузера, очищать cookie, историю и выстраивает новый маршрут через сеть Tor. То есть механизм, на который пользователи полагаются для разрыва связи между сессиями, переставал работать. Исправление для этой проблемы оказалось простым: добавление сортировки результатов indexedDB.databases() в каноническом (например, лексикографическом) порядке перед возвратом, что позволяет не раскрывать внутреннее состояние хранилища.

Цитирование статьи, картинки - фото скриншот - Rambler News Service.

Иллюстрация к статье - Яндекс. Картинки.

Есть вопросы. Напишите нам.

Общие правила поведения на сайте.