報告された脆弱性は、Safari 15などで使われるWebKitに実装された「IndexedDB」APIが「Same-origin policy」に違反した状態になっているというもので、これにより、標的のユーザーが悪意のあるWebサイトを開いた場合に、それ以外のタブやウィンドウを含め、どのWebサイトにアクセスしたかなどの情報を知ることができてしまうのだとか。

影響を受けるのはmacOSのSafari 15、およびiOS 15/iPadOS 15で動作するすべてのWebブラウザで、前者はSafariのみだが、後者でSafari以外が含まれるのは、iOS/iPadOS上のすべてのWebブラウザにおいてWebKitエンジンを使用するよう、Appleが定めているからのようです。

現時点での対策は、MacではSafari以外のWebブラウザに切り替えることで回避できるるのですが、iOS/iPadOSについてはすべてのWebブラウザが影響を受けるため、ユーザー側でとれる対策がほぼないようで、利便性は大きく損なわれるが、デフォルトでJavaScriptをすべてブロックし、信頼できるサイトのみ許可するといった手法でも対策が可能のようです。

IndexedDBは、Webブラウザが大量のデータを保持するためのAPI。主要なWebブラウザがサポートしており、広く使われているのですが、このAPIはほかのWebブラウザ技術と同様に、Same-origin policyと呼ばれるポリシーに従って運用することで、セキュリティを確保するのですが、Safari 15では、このポリシーが守られておらず、異なるorigin間でデータベース名が漏洩する状態となっていたのだとか。

データベース名にはユーザー固有の識別子を使用している場合もあるため、これにより認証ユーザーを正確に識別できてしまう恐れもある。Googleの各種サービスなどで複数アカウントにログインしている場合には、それらを1人のユーザーに結び付けるといったことも可能だとしている。