https://youtu.be/Z7dPeGpCl8s

Safari 15의 IndexedDB API 구현의 버그를 이용하여 사용자의 실시간 방문 기록이 유출되는 취약점이 공개되었습니다.

Safari 15의 IndexedDB API 구현은 same-origin 정책을 제대로 준수하지 않으며, 웹사이트가 IndexedDB에 접근할 때 열려있는 모든 프레임, 탭, 윈도우에 동일한 이름의 빈 DB가 생성됩니다. 즉, Safari 15에서 모든 웹사이트는 다른 열려있는 모든 프레임, 탭, 윈도우에서 접근하는 IndexedDB의 DB 이름을 알 수 있습니다.

 유명한 예시로 YouTube, Google Calendar, Google Keep의 경우 IndexedDB 이름으로 로그인된 모든 구글 계정의 Google User ID를 사용하며, 이를 이용해 악성 웹사이트는 현재 Safari에 로그인된 모든 구글 ID 정보에 접근할 수 있습니다.

Safari 15가 설치된 macOS, 그리고 iOS 15, iPadOS 15의 모든 브라우저가 취약하며, Alexa Top 1000 사이트 기준으로 최소 30개 이상의 웹사이트가 해당 취약점의 영향을 받습니다. 해당 취약점이 패치되기 전까지 macOS 사용자의 경우 임시로 Chrome, Firefox 등의 다른 브라우저를 이용할 것을 권장하며, iOS, iPadOS 사용자의 경우 JavaScript를 비활성화 하는 것 외에는 현재 가능한 해결법이 없습니다.