En vedligeholdelsesudgivelse af Firefox 101.0.1 er tilgængelig, bemærkelsesværdig for at styrke sandkasseisolering på Windows-platformen. Den nye version aktiverer som standard blokering af adgang til Win32k API (Win32 GUI-komponenter, der kører på kerneniveau) fra isolerede indholdsprocesser. Ændringen blev foretaget forud for Pwn2Own 2022-konkurrencen, som finder sted 18.-20. maj. Pwn2Own deltagere vil demonstrere arbejdsteknikker til at udnytte hidtil ukendte sårbarheder og, hvis det lykkes, vil de modtage imponerende belønninger. For eksempel er præmien for at omgå sandkasseisolering i Firefox på Windows-platformen $100 tusind.
Andre ændringer omfatter løsning af et problem med undertekster, der vises i billed-i-billede-tilstand, når du bruger Netflix, og løsning af et problem, hvor nogle kommandoer ikke var tilgængelige i billede-i-billede-vinduet.
Derudover rapporteres det, at nye krav er blevet tilføjet til Mozilla-rodcertifikatlagringsreglerne. Ændringerne, der har til formål at løse nogle af de længe sete fejl i tilbagekaldelse af TLS-servercertifikater, træder i kraft den 1. juni.
Den første ændring vedrører bogføring af koder med begrundelse for certifikattilbagekaldelse (RFC 5280), som certificeringsmyndigheder nu i nogle tilfælde skal angive i tilfælde af certifikattilbagekaldelse. Tidligere transmitterede nogle certificeringsmyndigheder ikke sådanne data eller tildelte dem formelt, hvilket gjorde det vanskeligt at spore årsagerne til at tilbagekalde servercertifikater. Nu bliver korrekt udfyldelse af årsagskoder i certifikattilbagekaldelseslister (CRL'er) obligatorisk og vil give os mulighed for at adskille situationer relateret til kompromittering af nøgler og overtrædelse af regler for arbejde med certifikater fra ikke-sikkerhedssager, såsom ændring af oplysninger om en organisation, salg af et domæne eller udskiftning af et certifikat før tid.
Den anden ændring forpligter certificeringsmyndigheder til at sende de fulde URL'er for certifikattilbagekaldelseslister (CRL'er) til rod- og mellemliggende certifikatdatabase (CCADB, Common CA Certificate Database). Ændringen vil gøre det muligt fuldt ud at tage højde for alle tilbagekaldte TLS-certifikater, samt forudindlæse mere fuldstændige data om tilbagekaldte certifikater i Firefox, som kan bruges til verifikation uden at sende en anmodning til certificeringsmyndighedernes servere under TLS. forbindelsesopsætningsprocessen.
Kilde: opennet.ru