Apple vá lỗi lộ thông tin nghiêm trọng trên Safari

Cập nhật (29/1): Apple cho biết bản cập nhập của iOS, iPadOS và macOS để sửa lỗi khiến lịch sử duyệt web của người dùng bị lộ sẽ được phát hành tuần tới.

Safari làm lộ lịch sử duyệt web của người dùng

Vào ngày 16/1, nhóm bảo mật FingerprintJS đã phát hiện ra lỗ hổng bảo mật trong trình duyệt Safari 15 trên các thiết bị MacOS và iOS làm lộ lịch sử duyệt web của người dùng. Hiện Apple chưa khắc phục được lỗi này.

Cụ thể, lỗi này xuất hiện trong quá trình triển khai thành phần IndexedDB của Safari 15, cho phép một website có thể lấy được các tên miền của các website khác mà người dùng đã truy cập. Kẻ xấu có thể lợi dụng lỗ hổng này để biết lịch sử duyệt web của người dùng.

Sau khi phát hiện lỗ hổng nghiêm trọng này, FingerprintJS đã gửi báo cáo cho Apple. Tuy nhiên cho tới nay, Apple vẫn chưa khắc phục lỗi này nên nhóm đã công khai lỗ hổng vào ngày 16/1 vừa qua. Nhóm cũng tạo ra một trang thử nghiệm để người dùng hiểu rõ hơn về lỗ hổng này. Trang thử nghiệm có tên là Safarileaks, mỗi khi người dùng truy cập một trang web nào đó, tên của nó sẽ hiển thị trên tab Safarileaks.

FingerprintJS khằng định thêm rằng, tất cả các trang web tương tác với API IndexedDB đều bị phát hiện, chế độ duyệt web ẩn danh cũng có thể bị ảnh hưởng.

Lỗ hổng trên khiến quyền riêng tư của người dùng bị vi phạm một cách rõ ràng. Không chỉ ảnh hưởng tới người dùng mà nó có nguy hiểm đối với một số dịch vụ mà địa chỉ web có chứa ID của người dùng.

Ví dụ, trình duyệt Safari lưu trữ một phiên bản IndexedDB ứng với mỗi tài khoản kèm theo ID tài khoản mà người dùng đăng nhập khi sử dụng dịch vụ của Google. Trang 9to5Mac đã thử nghiệm tiến hành khai thác lỗ hổng và cho biết, ít nhất họ có thể biết được ảnh đại diện của tài khoản Google dựa trên ID nói trên.

Theo FingerprintJS, cách duy nhất để người dùng khắc phục tạm thời lỗi này là kích hoạt chế độ chặn JavaScript. Tuy nhiên điều này sẽ ảnh hưởng tới việc duyệt web. Một cách khác là thay thế Safari bằng trình duyệt khác.