Saadaval on Firefoxi 101.0.1 hooldusväljalase, mis tugevdab Windowsi platvormi liivakasti isolatsiooni. Uus versioon võimaldab vaikimisi blokeerida isoleeritud sisuprotsesside juurdepääsu Win32k API-le (Win32 GUI komponendid, mis töötavad kerneli tasemel). Muudatus tehti Pwn2Own 2022 võistluse eel, mis toimub 18.-20. Pwn2Own osalejad demonstreerivad töövõtteid senitundmatute turvaaukude ärakasutamiseks ja edu korral saavad nad muljetavaldavat tasu. Näiteks liivakasti isolatsioonist möödahiilimine Firefoxis Windowsi platvormil on 100 tuhat dollarit.
Muud muudatused hõlmavad Netflixi kasutamisel pilt-pildis režiimis kuvatavate subtiitrite probleemi lahendamist ja probleemi lahendamist, mille korral mõned käsud ei olnud pilt-pildis aknas saadaval.
Lisaks teatatakse, et Mozilla juursertifikaadi salvestamise reeglitele on lisatud uusi nõudeid. Muudatused, mille eesmärk on lahendada mõned kauaaegsed TLS-serveri sertifikaadi tühistamise tõrked, jõustuvad 1. juunil.
Esimene muudatus puudutab sertifikaadi kehtetuks tunnistamise põhjustega koodide arvestust (RFC 5280), mille sertifitseerimisasutused peavad nüüd mõnel juhul sertifikaadi kehtetuks tunnistamise korral märkima. Varem ei edastanud mõned sertifitseerimisasutused selliseid andmeid või määrasid need ametlikult, mistõttu oli serveri sertifikaatide tühistamise põhjuste jälgimine keeruline. Nüüd muutub põhjuskoodide korrektne täitmine sertifikaatide tühistamise loendites (CRL) kohustuslikuks ja see võimaldab meil eraldada võtmete ohustamise ja sertifikaatidega töötamise reeglite rikkumisega seotud olukorrad mitteturvalisusega seotud juhtumitest, nagu näiteks teabe muutmine organisatsiooni, domeeni müümise või sertifikaadi ennetähtaegse väljavahetamise.
Teine muudatus kohustab sertifitseerimisasutusi edastama sertifikaatide tühistamise loendite (CRL) täielikud URL-id juur- ja vahesertifikaatide andmebaasi (CCADB, Common CA Certificate Database). Muudatus võimaldab täielikult arvesse võtta kõiki tühistatud TLS-i sertifikaate, samuti eellaadida Firefoxi täielikumad andmed tühistatud sertifikaatide kohta, mida saab kasutada kontrollimiseks ilma TLS-i ajal sertifitseerimisasutuste serveritele päringut saatmata. ühenduse seadistamise protsess.
Allikas: opennet.ru