Un error en la implementación de la versión 15 de Safari, presente también para otros navegadores en iOS e iPadOS, da lugar a la filtración de información confidencial de los usuarios, como el historial de navegación o datos correspondientes a sus cuentas personales en Google. Pueden conocen el perfil del usuario en otros servidores y las páginas que esta persona consulta. En concreto, FingerprintJS señala que los sitios web que usan la cuenta de Google, como YouTube, Google Calendar y Google Keep, son vulnerables a esta brecha. El error de Safari puede exponer el nombre  y la foto de perfil y más datos a otros sitios web.

Un fallo en el navegador de Apple filtra datos personales 

•   FingerprintJS informó a Apple de este fallo el 28 de noviembre de 2021, pero a día de hoy todavía no han resuelto este fallo de seguridad en Safari.

 

 Según ha indicado el servicio de  FingerprintJS en su blog, este error se debe a un fallo de implementación de la interfaz de programación de aplicaciones (API) IndexedDB en Safari para MacOS y en cualquier navegador en iOS 15 e iPadOS 15, debido a la exigencia de Apple de que los navegadores usen el motor WebKit en sus sistemas operativos.

Segun explican, esta API estaría violando la política del mismo origen (SOP), un mecanismo de seguridad que restringe la interactuación entre los documentos o 'scripts' cargados desde un origen con contenidos de otras ubicaciones.

Un origen se diferencia por su esquema o protocolo, el nombre del dominio y la URL que se utiliza para acceder a él, y cada base de datos esta asociada a un origen concreto. De ese modo, aquellos documentos e información asociados a otros orígenes no deberían tener la posibilidad de interactuar con bases de datos ajenas.

Tal y como FingerprintJS ha comprobado en una simulación en Safari para MacOS y los navegadores afectados en iOS e iPadOS 15, esta interactuación permite que los sitios webs codificados puedan extraer información de Google, así como sus historiales y el contenido de las ventanas del navegador.

Cada vez que un sitio web interactúa con una base datos concreta, esta se duplica con el mismo nombre en las demás pestañas y páginas activas dentro de la misma sesión del navegador, aunque está vacía de contenido. No obstante, la creación de otra base de datos con idéntico nombre es suficiente para que se pueda extraer de ella datos como el nombre de usuario de Google.

Desde FingerprintJS indican que más de 30 de los mil sitios web más visitados, según el rankign de Alexa, "interactúan con bases de datos inexadas directamente en su página de inicio, sin ninguna interacción adicional del usuario ni necesidad de autenticación", aunque se sospecha que puede haber más páginas capaces de filtrar datos confidenciales.

Apple fue notificado de este problema el pasado 28 de noviembre y, hasta ahora, no se ha pronunciado acerca de este fallo.Por el momento, parecen existir dos soluciones posibles para frenar la fltración de información: utilizar un bloqueador de anuncios (por ejemplo, la extensión AdBlock) u optar por el bloqueo de JavaScript. Dsede FingerprintJS también recomiendan cambiar el navegador predeterminado en MacOS a otro distinto de Safari. 

Los investigadores de FingerprintJS han realizado una demostración y en ella se muestra cómo, a través de este fallo, puede conocer el tipo de dispositivo desde el que se usa Safari, el ID de Google del usuario y si este accede a unas 30 páginas populares como Instagram, Netflix, Twitter o Xbox. Aunque toda esta información no da contraseñas y otras detalles para realizar una suplantación de identidad, si da información personal para elaborar un ataque dirigido a esa persona y tener más éxito.

Los investigadores de FingerprintJS aseguran que este problema también afecta al modo de navegación privada de Safari, por lo que sus usuarios no tendrían mucho margen de actuación para proteger sus datos personales. Casi cualquier sitio web que utilice la API de JavaScript de IndexedDB podría ser vulnerable a este tipo de extracción de datos.

Fuentes:

https://fingerprintjs.com/blog/indexeddb-api-browser-vulnerability-safari-15/

https://www.cope.es/actualidad/tecnologia/noticias/ciberseguridad-error-safari-filtra-historial-datos-cuenta-google-los-usuarios-20220117_1732626