Vorsicht vor dieser Sicherheitslücke in Safari!

In WebKit, der Rendering-Engine des Safari-Browsers von Apple, wurde eine Sicherheitslücke entdeckt. Sie zeigt Websites in Echtzeit die Namen anderer besuchter Websites und in einigen Fällen sogar persönliche Identifikationsmerkmale.

In ihrem offiziellen Blog haben die Spezialisten des Browser-Rückverfolgungsdienstes FingerprintJS eine Schwachstelle in der WebKit-Rendering-Engine aufgedeckt, die die Version 15 von Safari betrifft. Das Problem liegt in seiner Implementierung der IndexedDB-API und hat zur Folge, dass Webseiten die Namen anderer besuchter Webseiten erfahren können.

IndexedDB ist ein in allen Browsern vorhandenes Tool, das es Websites ermöglicht, Daten auf dem Computer des Internetnutzers zu speichern. Wenn es richtig eingesetzt wird, hat jede Website nur Zugriff auf die Informationen, die sie gespeichert hat. Aufgrund dieser Schwachstelle wird jedoch jedes Mal, wenn eine Site eine Datenbank über IndexedDB erstellt, eine leere Kopie in allen anderen Tabs, Fenstern und Rahmen (Frames) derselben Sitzung erstellt.

Bisher wurden noch keine Aktualisierungen vorgenommen

Der Inhalt der Datenbank wird also nicht offengelegt, sondern nur der Name. Viele Websites schließen jedoch beim Erstellen ihrer Datenbank ihren Namen ein, der somit für alle anderen Websites, die der Nutzer besucht, sichtbar ist. Darüber hinaus schließen einige sogar eine Benutzerkennung ein, wie es bei YouTube der Fall ist. Dies kann also dazu führen, dass der Nutzer identifiziert werden kann oder zumindest im Fall von Google das Profilbild abgerufen werden kann. Und eine Website könnte absichtlich eine andere Website in einem Frame öffnen, ohne dass der Nutzer davon weiß, um an solche Informationen zu gelangen.

Es ist nicht nur Safari betroffen. Die Sicherheitslücke betrifft auch Browser von Drittanbietern auf iPhone und iPad, da Apple die Verwendung von WebKit vorschreibt. Der Fehler wurde am 28. November gemeldet, aber Apple hat noch kein Update veröffentlicht. In der Zwischenzeit kann man auf macOS einen anderen Browser verwenden, auf iOS und iPadOS gibt es jedoch keine Alternativen.

Urhebender Autor: Edward Back