火狐漏洞可致 Tor 用户被指纹识别

研究人员发现了一个漏洞，该漏洞使得威胁行为者能够对火狐浏览器用户进行指纹识别，即使是在隐私浏览模式下。基于火狐的 Tor 匿名浏览器也受到此问题影响。

这个编号为 CVE - 2026 - 6770 的漏洞，与 IndexedDB 浏览器应用程序编程接口（API）有关，该接口用于在客户端存储结构化数据。

火狐浏览器使用内部通用唯一识别码（UUID）映射来存储 IndexedDB 数据库名称。当一个网站列出这些数据库时，在同一浏览器进程运行期间，不同网站返回的数据库顺序保持一致。

这使得不相关的网站能够独立观察到相同的顺序，并利用它在不同域名间关联用户活动，且无需借助任何 cookie 或共享存储。该指纹识别信息在页面重新加载和新的隐私会话中持续存在，直到浏览器完全重启。

威胁行为者可利用此漏洞，在火狐的隐私浏览模式下，甚至在 Tor 使用 “新建身份” 功能时，对用户进行指纹识别。

Tor 的 “新建身份” 功能旨在通过清除浏览历史、cookie 和活动连接，防止用户在不同网站的活动被关联起来。

研究人员解释说：“在 Tor 浏览器中，这个稳定标识符实际上破坏了 Tor 浏览器在运行的浏览器进程内的‘新建身份’隔离功能，使得网站能够关联本应完全相互隔离的会话。”

Mozilla 在发布火狐 150 版时修复了 CVE - 2026 - 6770 漏洞。该组织将此漏洞评为 “中度严重”，并仅将其描述为 “存储：IndexedDB 组件中的其他问题”。

Tor 项目也采用了该补丁，并于上周随 Tor 浏览器 15.0.10 版的发布推送给用户。