Sortie de Firefox 119

La version du navigateur web Firefox 119 a été lancée et une mise à jour de la branche à long terme a été créée — 115.4.0. La branche Firefox 120 est maintenant en phase de bêta-test, avec un lancement prévu pour le 21 novembre.

Les principales nouveautés de Firefox 119 :

• Une interface mise à jour de la page Firefox View a été proposée, simplifiant l'accès au contenu précédemment consulté. Sur la page Firefox View, toutes les informations sur les onglets actifs, les pages récemment visitées, les onglets fermés et les onglets d'autres appareils sont regroupées à un seul endroit. Dans cette nouvelle version, Firefox View affiche les informations de tous les onglets ouverts dans n'importe quelle fenêtre, et la possibilité de consulter l'historique de navigation avec un tri par date ou par site a été ajoutée.
• L'importation d'extensions depuis Chrome et d'autres navigateurs basés sur le moteur Chromium est maintenant possible. Dans la boîte de dialogue d'importation des données depuis d'autres navigateurs (« Importer des données » sur la page about:preferences#general), une option pour transférer les extensions est apparue. Pour le transfert, une liste de 72 extensions a été mise en place, qui associe les identifiants des mêmes extensions existant pour Chrome et Firefox. Si des extensions de la liste sont présentes lors de l'importation des données depuis Chrome, la version native pour Firefox sera installée à la place de la version pour Chrome.
• Le support du mécanisme ECH (Encrypted Client Hello) a été intégré, poursuivant le développement de l'ESNI (Encrypted Server Name Indication) et utilisé pour crypter les informations sur les paramètres des sessions TLS, tels que le nom de domaine demandé. La principale différence entre l'ECH et l'ESNI est que dans l'ECH, au lieu de chiffrer au niveau des champs individuels, l'ensemble du message TLS ClientHello est entièrement chiffré, permettant de bloquer les fuites via des champs non couverts par l'ESNI, comme le champ PSK (Pre-Shared Key).
• Dans les fonctionnalités d'édition de documents fournies par le lecteur PDF intégré, la prise en charge de l'insertion d'images et de notes textuelles a été ajoutée, en plus des options de dessin à main levée et d'ajout de commentaires textuels disponibles précédemment. Le nouveau mode d'édition PDF est activé uniquement pour certains utilisateurs ; pour l'activer de force, la configuration « pdfjs.enableStampEditor » doit être activée sur la page about:config.
• Les paramètres liés à la restauration des sessions interrompues après la fermeture du navigateur ont été modifiés. Contrairement aux versions précédentes, les informations ne seront plus sauvegardées uniquement pour les onglets actifs, mais aussi pour les onglets récemment fermés, ce qui permettra de restaurer les onglets fermés accidentellement après le redémarrage et de les consulter dans la vue Firefox. Par défaut, les données des 25 derniers onglets ouverts au cours des 7 derniers jours seront conservées. Les informations sur les onglets dans les fenêtres fermées seront également prises en compte et la liste des onglets fermés sera gérée dans le contexte de toutes les fenêtres, pas seulement de la fenêtre actuelle.
• Les fonctionnalités du mode de protection totale des cookies (Total Cookie Protection) ont été étendues, permettant d'utiliser un stockage de cookies isolé pour chaque site, ce qui empêche l'utilisation des cookies pour suivre le déplacement entre les sites (tous les cookies créés par des blocs externes chargés sur le site (iframe, js, etc.) sont liés au site sur lequel ces blocs ont été chargés). La nouvelle version prend également en charge l'isolation du schéma URI «blob:….» (Blob URL), qui peut potentiellement être utilisé pour transmettre des informations susceptibles de suivre les utilisateurs.
• Pour les utilisateurs du mode strict du mécanisme de protection contre le suivi (ETP, Enhanced Tracking Protection), une protection supplémentaire a été mise en place contre l'identification indirecte des utilisateurs via l'analyse des polices — les polices visibles par les sites Web sont limitées aux polices système et aux polices des ensembles de caractères standards.
• Dans le package snap de Firefox, le support de l'utilisation de la boîte de dialogue de sélection de fichiers native d'Ubuntu a été implémenté lors de l'accès aux données d'autres navigateurs, ainsi que le support de la définition des capacités disponibles en fonction de la version installée de xdg-desktop-portal.
• Ajout d'une prise en charge pour sélectionner le moniteur destiné à l'affichage de la fenêtre du navigateur, lancée en mode kiosque. Le moniteur est sélectionné à l'aide du paramètre de ligne de commande «—kiosk-monitor». Le navigateur passe immédiatement en mode plein écran après avoir été lancé en mode kiosque.
• La détection de contenu multimédia dans les fichiers traités avec le type MIME «application/octet-stream» a été interrompue. Pour de tels fichiers, le navigateur proposera maintenant de télécharger le fichier plutôt que de commencer à le lire.
• Dans le cadre de la préparation à l'activation dans Firefox du blocage des cookies tiers, l'implémentation de l'API Storage Access a été mise à jour. Cette API est utilisée pour demander à l'utilisateur l'autorisation d'accéder à la mémoire des cookies depuis un iframe lorsque, par défaut, les cookies tiers sont bloqués. La nouvelle implémentation renforce la protection et apporte des modifications pour éviter les problèmes de fonctionnement des sites.
• Pour les éléments personnalisés (Custom Element) qui étendent la fonctionnalité des éléments HTML existants, la prise en charge des attributs ARIA (Accessible Rich Internet Applications) a été incluse, rendant ces éléments plus accessibles aux personnes en situation de handicap. La possibilité d'attribuer et de lire des attributs ARIA directement pour les éléments DOM (par exemple, buttonElement.ariaPressed = "true") a été ajoutée sans appeler les méthodes setAttribute et getAttribute.
• L'en-tête HTTP Cross-Origin-Embedder-Policy, qui gère le mode d'isolation Cross-Origin et qui permet de définir des règles d'utilisation sécurisée des opérations privilégiées sur la page, a été enrichi du paramètre « credentialless » pour désactiver la transmission des informations liées aux identifiants, telles que les cookies et les certificats clients.
• La fonction CSS attr() a été mise à jour pour permettre la spécification d'un second argument, dont la valeur sera utilisée dans les cas où l'attribut spécifié est absent ou a une valeur invalide. Par exemple, attr(foobar, "Default value").
• Les méthodes Object.groupBy et Map.groupBy ont été ajoutées pour regrouper des éléments de tableau en utilisant comme clé de regroupement une valeur de chaîne retournée par une fonction de rappel qui est appelée pour chaque élément du tableau.
• Des méthodes ont été ajoutées : String.prototype.isWellFormed() pour vérifier la présence d'un texte Unicode correctement formé dans une chaîne (vérifie uniquement la présence de « paires de substitution » complètes de caractères composites) et String.prototype.toWellFormed() pour nettoyer et convertir le texte Unicode en une forme correcte.
• Dans les méthodes WebTransport.createBidirectionalStream() et WebTransport.createUnidirectionalStream(), la prise en charge de la propriété « sendOrder » a été ajoutée pour définir la priorité relative des flux envoyés.
• De nouvelles méthodes getPublicKey(), getPublicKeyAlgorithm() et getAuthenticatorData() ont été proposées dans l'API AuthenticatorAttestationResponse.
• Dans l'API Web Authentication, la prise en charge des propriétés credProps a été ajoutée pour déterminer la présence des informations d'identification après la création ou l'enregistrement.
• L'API PublicKeyCredential a ajouté les méthodes parseCreationOptionsFromJSON(), parseRequestOptionsFromJSON() et toJSON() pour transformer des objets en une représentation au format JSON, adaptée à la sérialisation/désérialisation et à la transmission sur serveur.
• Dans les outils pour les développeurs web, l'interface pour travailler de manière interactive avec le CSS (Styles CSS inactifs) a été améliorée, permettant d'identifier les propriétés CSS n'affectant pas l'élément, ainsi qu'une prise en charge complète des pseudo-éléments tels que «::first-letter», «::cue» et «::placeholder».
• Dans le visualiseur intégré de données JSON, un passage automatique à l'affichage des données brutes (raw) est assuré si les données JSON visualisées sont incorrectes ou corrompues.
• Sur la plateforme Windows, le support de la configuration système permettant de masquer le curseur lors de la saisie de texte a été ajouté.
• Dans la version pour la plateforme Android, un crash lors de la lecture vidéo en plein écran a été corrigé. La prise en charge des media queries prefers-contrast et prefers-reduced-transparency a été ajoutée dans l'environnement Android 14.

En plus des nouveautés et des corrections de bugs, Firefox 119 a corrigé 25 vulnérabilités. 17 vulnérabilités (16 regroupées sous CVE-2023-5730 et CVE-2023-5731), marquées comme critiques, proviennent de problèmes de gestion de la mémoire, tels que les débordements de tampon et les accès à des zones de mémoire déjà libérées. Ces problèmes peuvent potentiellement permettre l'exécution de code malveillant lors de l'ouverture de pages spécialement conçues. Une autre vulnérabilité critique (CVE-2023-5721) permet, via le clickjacking, de valider ou d'annuler certains dialogues ou avertissements du navigateur.

Source : opennet.ru