Release von Firefox 93

Die Veröffentlichung des Web-Browsers Firefox 93 ist erfolgt. Zudem wurde ein Update für die Long-Term-Support-Versionen 78.15.0 und 91.2.0 erstellt. Die Beta-Phase für Firefox 94 wurde gestartet, dessen Veröffentlichung für den 2. November angesetzt ist.

Hauptneuheiten:

• Die Unterstützung des Bildformats AVIF (AV1 Image Format) ist nun standardmäßig aktiviert. Dieses Format nutzt intraframe-Kompressionstechnologien aus dem Video-Encoding-Format AV1. Es werden Farbräume mit vollem und begrenztem Farbumfang sowie Transformationsoperationen (Drehung und Spiegelung) unterstützt. Animationen werden derzeit nicht unterstützt. Um die Einhaltung der Spezifikation anzupassen, wurde in about:config die Option „image.avif.compliance_strictness“ hinzugefügt. Der HTTP-Header ACCEPT wurde standardmäßig auf „image/avif,image/webp,*/*“ geändert.
• Der WebRender-Engine, der in Rust geschrieben wurde, ist jetzt standardmäßig aktiviert. Er ermöglicht eine signifikante Verbesserung der Rendering-Geschwindigkeit und eine Verringerung der CPU-Belastung, indem Grafikoperationen auf die GPU ausgelagert werden, die über Shader auf der GPU ausgeführt werden. Für Systeme mit älteren Grafikkarten oder problematischen Grafiktreibern wird ein softwarebasiertes Rasterisierungsverfahren verwendet (gfx.webrender.software=true). Die Unterstützung der Option zum Deaktivieren von WebRender (gfx.webrender.force-legacy-layers und MOZ_WEBRENDER=0) wurde eingestellt.
• Die Unterstützung des Wayland-Protokolls wurde verbessert. Eine Zwischenschicht wurde hinzugefügt, um Probleme mit der Zwischenablage in Umgebungen auf Basis des Wayland-Protokolls zu lösen. Außerdem wurden Änderungen integriert, die es ermöglichen, beim Verwenden von Wayland das Flimmern beim Bewegen von Fenstern zu den Bildschirmrändern in Multi-Monitor-Konfigurationen zu beseitigen.
• Im integrierten PDF-Viewer wurde die Möglichkeit implementiert, Dokumente mit interaktiven XFA-Formularen zu öffnen, die normalerweise in elektronischen Formularen verschiedener Banken und staatlicher Institutionen verwendet werden.
• Der Schutz vor dem Herunterladen von Dateien, die über HTTP ohne Verschlüsselung bereitgestellt werden, aber von HTTPS-Seiten initiiert werden, ist aktiviert. Solche Downloads sind nicht gegen Manipulationen aufgrund der Kontrolle über den Transitverkehr geschützt. Da sie jedoch von HTTPS-Seiten ausgeführt werden, kann der Nutzer den falschen Eindruck von ihrer Sicherheit bekommen. Wenn ein Nutzer versucht, solche Daten herunterzuladen, wird eine Warnung angezeigt, die es ihm ermöglicht, die Blockierung nach Wunsch aufzuheben. Darüber hinaus ist das Herunterladen von Dateien aus isolierten iframes, die nicht ausdrücklich mit dem Attribut allow-downloads versehen sind, nun ebenfalls verboten und wird stillschweigend blockiert.
• Die Implementierung des SmartBlock-Mechanismus wurde verbessert, um Probleme auf Websites zu lösen, die durch die Blockierung externer Skripte im privaten Modus oder bei aktivierter strenger Blockierung unerwünschter Inhalte entstehen. SmartBlock ersetzt automatisch die zur Verfolgung verwendeten Skripte durch Platzhalter, die eine korrekte Ladezeit der Website gewährleisten. Diese Platzhalter sind für verschiedene beliebte Benutzerskripte vorbereitet, die in die Disconnect-Liste aufgenommen wurden. In der neuen Version ist eine adaptive Blockierung von Google Analytics-Skripten, von Google-Werbenetzwerken sowie von Widgets der Dienste Optimizely, Criteo und Amazon TAM enthalten.
• In den Modus für privates Surfen und die verstärkte Blockierung unerwünschter Inhalte (strict) ist zusätzlicher Schutz für den HTTP-Header "Referer" aktiviert. In diesen Modi dürfen Websites nun die Referrer-Richtlinien "no-referrer-when-downgrade", "origin-when-cross-origin" und "unsafe-url" im HTTP-Header Referrer-Policy nicht mehr aktivieren. Diese erlauben es, die Standard-Einstellungen zu umgehen und die vollständige URL an externe Seiten im Header "Referer" zu übermitteln. Zur Erinnerung: In Firefox 87 wurde mit dem Ziel, potenzielle Lecks vertraulicher Daten zu blockieren, standardmäßig die Richtlinie "strict-origin-when-cross-origin" aktiviert. Diese legt fest, dass Pfade und Parameter aus dem "Referer" entfernt werden, wenn eine Anfrage an andere Hosts über HTTPS gesendet wird. Außerdem wird ein leerer "Referer" übermittelt, wenn man von HTTPS auf HTTP wechselt, und der vollständige "Referer" für interne Übergänge innerhalb einer Website übergeben. Die Effektivität dieser Änderung wurde jedoch in Frage gestellt, da Websites durch Manipulation der Referrer-Richtlinie das alte Verhalten wiederherstellen konnten.
• Auf der Windows-Plattform wurde die Unterstützung für die automatische Entladung von Tabs aus dem Speicher implementiert, wenn der verfügbare Speicher im System kritische niedrigere Werte erreicht. Zunächst werden die Tabs entladen, die den meisten Speicher verbrauchen und auf die der Benutzer lange nicht zugegriffen hat. Beim Wechsel zu einem entladenen Tab wird dessen Inhalt automatisch erneut geladen. In Linux wird versprochen, diese Funktionalität in einer der nächsten Versionen hinzuzufügen.
• Das Design der Download-Liste wurde an den allgemeinen visuellen Stil von Firefox angepasst.
• Im kompakten Modus wurden die Abstände zwischen den Elementen des Hauptmenüs, dem Overflow-Menü, Lesezeichen und dem Verlauf verringert.
• Zu den Algorithmen, die für die Organisation der HTTP-Authentifizierung verwendet werden können, wurde SHA-256 hinzugefügt (zuvor wurde nur MD5 unterstützt).
• TLS-Verschlüsselungen, die den Algorithmus 3DES verwenden, sind standardmäßig deaktiviert. Beispielsweise ist die Cipher-Suite TLS_RSA_WITH_3DES_EDE_CBC_SHA anfällig für den Sweet32-Angriff. Eine Wiederherstellung der Unterstützung für 3DES ist möglich, wenn dies in den Einstellungen für ältere TLS-Versionen explizit erlaubt wird.
• Auf macOS wurde das Problem mit dem Verlust von Sitzungen behoben, wenn Firefox aus einer gemounteten „.dmg“-Datei gestartet wird.
• Eine Benutzeroberfläche für die visuelle Eingabe von Datum und Uhrzeit für das Webformularelement wurde implementiert.
• Für Elemente mit den Attributen aria-label oder aria-labelledby wurde die Rolle meter (role="meter") eingeführt, die es ermöglicht, Indikatoren für numerische Werte darzustellen, die in einem bestimmten Bereich variieren (z. B. Ladeindikatoren für Akkus).
• Im CSS-Eigenschaft font-synthesis wurde die Unterstützung für das Schlüsselwort „small-caps“ hinzugefügt.
• Die Methode Intl.supportedValuesOf() wurde implementiert, die ein Array unterstützter Kalender, Währungen, Zahlensysteme und Maßeinheiten zurückgibt.
• Für Klassen wurde die Möglichkeit eingeführt, statische Initialisierungsblöcke zu verwenden, um Code zu gruppieren, der einmalig bei der Verarbeitung der Klasse ausgeführt wird: class C { // Block wird bei der Verarbeitung der Klasse ausgeführt static { console.log("C’s static block"); } }
• Die Unterstützung für den Aufruf von HTMLElement.attachInternals wurde hinzugefügt, um auf zusätzliche Methoden zur Formularsteuerung zuzugreifen.
• Die Methode ElementInternals hat das Attribut shadowRoot erhalten, das es eigenen Elementen ermöglicht, auf ihre separate Wurzel im Shadow DOM zuzugreifen, unabhängig vom Zustand.
• Die Methode createImageBitmap() unterstützt jetzt die Eigenschaften imageOrientation und premultiplyAlpha.
• Eine globale Funktion reportError() wurde hinzugefügt, die es Skripten ermöglicht, Fehler in die Konsole zu melden und damit ein nicht abfangbares Exception-Umfeld zu simulieren.
• Verbesserungen in der Version für die Android-Plattform:
  • Beim Start auf Tablets wurden Schaltflächen „Vorwärts“, „Zurück“ und „Seite neu laden“ zur Symbolleiste hinzugefügt.
  • Das automatische Ausfüllen von Benutzernamen und Passwörtern in Webformularen ist standardmäßig aktiviert.
  • Es besteht die Möglichkeit, Firefox als Passwortmanager für das Ausfüllen von Benutzernamen und Passwörtern in anderen Anwendungen zu verwenden (aktivierbar über „Einstellungen“ > „Anmeldungen und Passwörter“ > „In anderen Apps ausfüllen“).
  • Eine Seite „Einstellungen“ > „Anmeldungen und Passwörter“ > „Gespeicherte Anmeldungen“ > „Anmeldung hinzufügen“ wurde hinzugefügt, um Anmeldedaten manuell zum Passwortmanager hinzuzufügen.
  • Eine Seite „Einstellungen“ > „Daten Sammlung“ > „Studien und abmelden“ wurde hinzugefügt, die es ermöglicht, an der Testung experimenteller Funktionen nicht teilzunehmen.

Neben Neuerungen und Fehlerbehebungen in Firefox 93 wurden 13 Sicherheitsanfälligkeiten behoben, von denen 10 als kritisch eingestuft sind. 9 dieser Sicherheitsanfälligkeiten (unter CVE-2021-38500, CVE-2021-38501 und CVE-2021-38499 zusammengefasst) sind auf Speicherprobleme zurückzuführen, wie z.B. Pufferüberläufe und Zugriffe auf bereits freigegebene Speicherbereiche. Diese Probleme könnten potenziell zur Ausführung von Angreifer-Code führen, wenn speziell gestaltete Seiten geöffnet werden.

Die Beta-Version von Firefox 94 enthält die neue Dienstseite „about:unloads“, auf der der Benutzer bestimmte Tabs zur Reduzierung des Speicherverbrauchs zwangsweise entladen kann, ohne sie zu schließen (der Inhalt wird beim Wechsel zurück zum Tab neu geladen).

Quelle: opennet.ru