Release von Firefox 109

Die Veröffentlichung des Webbrowsers Firefox 109 hat stattgefunden. Zudem wurde ein Update für die langfristige Unterstützungsreihe — 102.7.0 — bereitgestellt. In naher Zukunft wird die Version Firefox 110 in die Beta-Testphase überführt, deren Veröffentlichung für den 14. Februar geplant ist.

Die wichtigsten Neuerungen in Firefox 109:

• Standardmäßig ist die Unterstützung für die dritte Version des Chrome-Manifests aktiviert, die die Möglichkeiten und Ressourcen definiert, die für Erweiterungen, die mit der WebExtensions-API geschrieben wurden, zur Verfügung stehen. Die Unterstützung der zweiten Version des Manifests wird in absehbarer Zukunft beibehalten. Da die dritte Version des Manifests kritisiert wurde und zu Problemen mit einigen Erweiterungen zum Blockieren unerwünschter Inhalte und zur Sicherheitsgewährleistung führen kann, hat Mozilla die vollständige Kompatibilität mit dem Manifest in Firefox aufgegeben und einige Funktionen anders implementiert. Zum Beispiel wurde die Unterstützung für den alten Blockierungsmodus der webRequest-API nicht eingestellt, den ein neuer deklarativer Content-Filtering-API in Chrome ersetzt hat. Auch die Unterstützung des granularen Berechtigungsmodells wurde etwas anders umgesetzt, bei dem eine Erweiterung nicht sofort für alle Seiten aktiviert werden kann (das Recht „all_urls“ wurde entfernt). In Firefox liegt die endgültige Entscheidung über den Zugang beim Benutzer, der auswählen kann, welcher Erweiterung er Zugriff auf seine Daten auf einer bestimmten Website gewähren möchte. Eine Schaltfläche „Unified Extensions“ wurde in die Benutzeroberfläche eingefügt, mit der der Benutzer den Zugriff von Erweiterungen auf jede Website gewähren oder widerrufen kann. Die Berechtigungsverwaltung gilt nur für Erweiterungen, die auf der dritten Version des Manifests basieren; für Erweiterungen, die auf der zweiten Version basieren, erfolgt keine granulare Zugangskontrolle zu Websites.
  
• Auf der Seite Firefox View wurde das Design der leeren Abschnitte für kürzlich geschlossene Tabs und Tabs, die auf anderen Geräten geöffnet sind, verbessert.
• In der Liste der kürzlich geschlossenen Tabs, die auf der Seite Firefox View angezeigt wird, wurden Schaltflächen zum Entfernen einzelner Links aus der Liste hinzugefügt.
• Die Möglichkeit, die eingegebenen Suchanfragen in der Adressleiste anzuzeigen, anstelle der URL der Suchmaschine, wurde hinzugefügt (d.h. die Schlüssel werden nicht nur während der Eingabe, sondern auch nach der Abfrage bei der Suchmaschine und der Anzeige der mit den eingegebenen Schlüsseln verbundenen Suchergebnisse in der Adressleiste angezeigt). Diese Funktion ist standardmäßig deaktiviert und erfordert zur Aktivierung die Einstellung der Option „browser.urlbar.showSearchTerms.featureGate“ in about:config.
• Der Datumsauswahl-Dialog für das Feld mit den Typen „date“ und „datetime“ wurde für die Steuerung über die Tastatur angepasst, was eine korrekte Unterstützung von Screenreadern und die Nutzung von Tastenkombinationen zur Navigation im Kalender ermöglicht.
• Das Experiment mit dem integrierten Add-on Colorways zur Anpassung des Erscheinungsbildes des Browsers (eine Sammlung von Farbthemen für den Inhaltsbereich, die Panels und die Tab-Wechselzeile wurde zur Auswahl angeboten) wurde abgeschlossen. Der Zugriff auf zuvor gespeicherte Farbthemen ist auf der Seite „Add-ons und Themen“ möglich.
• Auf Systemen mit GTK wurde die Möglichkeit implementiert, mehrere Dateien gleichzeitig im Dateimanager zu verschieben. Außerdem wurde das Verschieben von Bildern von einem Tab in einen anderen optimiert.
• Im System für das automatisierte Klicken auf Banner, die um Erlaubnis zur Verwendung von Cookies auf Websites bitten (cookiebanners.bannerClicking.enabled und cookiebanners.service.mode in about:config), wurde die Möglichkeit hinzugefügt, Websites zur Ausnahmeliste hinzuzufügen, für die das automatische Klicken nicht angewendet wird.
• Standardmäßig ist die Einstellung network.ssl_tokens_cache_use_only_once aktiviert, um die Wiederverwendung von Sitzungstickets in TLS auszuschließen.
• Die Einstellung network.cache.shutdown_purge_in_background_task wurde aktiviert, um das Problem mit der ordnungsgemäßen Beendigung der Datei-Ein-/Ausgabe beim Herunterfahren zu lösen.
• Im Kontextmenü von Add-ons wurde ein Element („Pin to toolbar“) hinzugefügt, um die Schaltfläche des Add-ons in der Symbolleiste zu fixieren.
• Es wurde die Möglichkeit geschaffen, Firefox als Dokumentenbetrachter zu verwenden, der über das Kontextmenü „Open With“ im System ausgewählt werden kann.
• Auf die Seite about:support wurden Informationen zur Bildwiederholfrequenz hinzugefügt.
• Einstellungen wie ui.font.menu, ui.font.icon, ui.font.caption, ui.font.status-bar, ui.font.message-box usw. wurden hinzugefügt, um systemweite Schriftarten zu überschreiben.
• Standardmäßig ist die Unterstützung des Ereignisses scrollend aktiviert, das erzeugt wird, wenn der Benutzer das Scrollen beendet (wenn sich die Position nicht mehr ändert) in den Objekten Element und Dokument.
• Der Zugang über die API Storage wird beim Umgang mit Inhalten von Drittanbietern unabhängig vom API Storage Access segmentiert.
• Dem Element range wurde die Unterstützung des Attributs list hinzugefügt, in dem die ID des Elements mit einer Liste vordefinierter Werte übergeben wird, die zur Eingabe vorgeschlagen werden.
• Im CSS-Eigenschaft content-visibility, die verwendet wird, um unnötiges Rendering von Bereichen außerhalb des Sichtfelds auszuschließen, wurde der Wert ‘auto’ hinzugefügt, bei dem die Sichtbarkeit vom Browser basierend auf der Nähe des Elements zur Grenze des sichtbaren Bereichs bestimmt wird.
• Im CSS-Typ , der die Standardwerte für die Farben verschiedener Seitenkomponenten definiert, wurde die Unterstützung der Werte Mark, MarkText und ButtonBorder hinzugefügt.
• In Web Auth wurde die Möglichkeit zur Authentifizierung mit dem Protokoll CTAP2 (Client to Authenticator Protocol) unter Verwendung von USB HID-basierten Tokens hinzugefügt. Die Unterstützung ist derzeit nicht standardmäßig aktiviert und wird durch den Parameter security.webauthn.ctap2 in about:config aktiviert.
• In den Entwicklertools für das Web wurde im JavaScript-Debugger eine neue Art von Haltepunkten hinzugefügt, die bei der Übergabe zum Ereignishandler scrollend ausgelöst wird.
• Im Protokoll für die Fernsteuerung des Browsers WebDriver BiDi wurde die Unterstützung für die Befehle „session.subscribe“ und „session.unsubscribe“ hinzugefügt.
• In den Builds für die Windows-Plattform wird der hardwareseitige Schutzmechanismus ACG (Arbitrary Code Guard) zur Blockierung der Ausnutzung von Schwachstellen in Prozessen, die die Wiedergabe multimedialer Inhalte ermöglichen, verwendet.
• Auf der Plattform macOS wurde das Verhalten der Kombinationen Ctrl/Cmd + Trackpad oder Ctrl/Cmd + Mausscrollrad geändert, die jetzt zu einem Scrollen (wie in anderen Browsern) und nicht zu einer Skalierung führen.
• Verbesserungen in der Android-Version:
  • Bei der Anzeige von Vollbildvideos wird die Adressleiste beim Scrollen ausgeblendet.
  • Eine Schaltfläche zum Rückgängigmachen der Änderung nach dem Entfernen der angehefteten Website wurde hinzugefügt.
  • Die Aktualisierung der Liste der Suchmaschinen nach einem Sprachwechsel wurde sichergestellt.
  • Ein Absturz, der beim Einfügen großer Datenmengen in die Zwischenablage oder die Adressleiste auftrat, wurde behoben.
  • Die Leistung der Canvas-Elemente wurde verbessert.
  • Das Problem mit Videoanrufen wurde gelöst, für die nur der Codec H.264 verwendet werden kann.

Neben neuen Funktionen und Fehlerbehebungen wurden in Firefox 109 21 Sicherheitsanfälligkeiten beseitigt. 15 dieser Sicherheitsanfälligkeiten sind als kritisch markiert, darunter 13, die unter den CVE-IDs CVE-2023-23605 und CVE-2023-23606 zusammengefasst sind. Diese resultieren aus Speicherproblemen wie Pufferüberläufen und Zugriff auf bereits freigegebene Speicherbereiche. Potenziell können diese Probleme zur Ausführung von Angreifercode führen, wenn speziell gestaltete Seiten geöffnet werden. Die Schwachstelle CVE-2023-23597 entsteht durch einen logischen Fehler im Code zur Erstellung neuer Kindprozesse und ermöglicht das Starten eines neuen Prozesses im Kontext file://, um den Inhalt beliebiger Dateien zu lesen. Die Schwachstelle CVE-2023-23598 resultiert aus einem Fehler bei der Verarbeitung von Drag-&-Drop-Aktionen in der GTK-Bindung und erlaubt das Lesen des Inhalts beliebiger Dateien über den Aufruf von DataTransfer.setData.

Quelle: opennet.ru