Исследователи безопасности обнаружили три опасные и различные уязвимости WebKit, которые раскрывают пользователей iOS и macOS. Эти ошибки позволяют обходить настройки прокси на уровне приложений и iCloud Private Relay от Apple, утекая IP-адреса и DNS-запросы на внешние серверы. Проблема затрагивает iCloud Private Relay и браузеры с защитой конфиденциальности и возникает сразу после того, как Apple исправила ошибку iCloud+ Hide My Email.
С тремя новыми обнаруженными уязвимостями утечки происходят из-за DNS-префетчинга, представленного в iOS 26.0, WebAuthn Related Origin Requests, появившегося в iOS 18.0, и WebTransport QUIC-соединений, доступных с iOS 26.4. Эти проблемы затрагивают все прокси-браузеры на основе WebKit на iOS, включая браузеры на базе Tor, где ожидается анонимность. Если вы используете VPN на iOS, эти ошибки вас совершенно не затрагивают.
Для контекста: Apple заставляет разработчиков использовать WebKit для любого веб-браузера на iOS, запускаемого в App Store. Поэтому многие прокси-браузеры полагаются на API WKWebsiteDataStore.proxyConfigurations для маршрутизации веб-трафика. Это был один из источников утечек. В случае WebAuthn он делегирует запросы фоновым демонам ОС, а в WebTransport открывает сырые HTTP/3-сокеты; оба этих механизма полностью обходят прокси-правила браузера.
Утечка IP-адресов и DNS-запросов означает, что вредоносные или отслеживающие сайты могут собирать ваш IP-адрес или DNS-провайдера с помощью простых HTML-тегов или пассивных WebAuthn-запросов, таких как mediation: “conditional”, без какого-либо явного взаимодействия пользователя со страницей. Исследователи Талал Хадж Бакри и Томми Миск, работающие над браузером Psylo, заявили, что режим Lockdown Mode в Onion Browser действительно обеспечивает некоторую защиту от WebTransport, хотя конфигурации по умолчанию остаются уязвимыми.
Psylo запустила веб-страницу проверки утечек, где вы можете протестировать, не утекает ли ваш якобы приватный браузер ваш IP или DNS-информацию. Если вы хотите предотвратить утечки прямо сейчас, еще до исправления браузеров, вам следует использовать системный VPN. Для разработчиков браузеров с защитой конфиденциальности на iOS Psylo сообщает, что необходимо вручную блокировать подсказки DNS-префетчинга и отключать WebTransport и WebAuthn по умолчанию в пользовательских сборках WebKit. Psylo уже внесла эти изменения в версии 1.3.1.
Два исследователя безопасности уведомили разработчиков Tor Project и Onion Browser об этих недостатках, что должно защитить многих людей после выхода исправлений.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Paul Hill
