Izdano je web preglednik , kao i Firefox 68.6 za platformu Android. Također, izrađeno je ažuriranje s dugim rokom podrške . Uskoro će u fazu prelazi na granu Firefox 75, čije je izdanje zakazano za 7. travnja (projekt od 4-5 tjedana ). Za beta-granu Firefox 75 izrade za Linux u formatu Flatpak.
:
- U izdanjima za Linux koristi se mehanizam izolacije , usmjeren na blokiranje iskorištavanja ranjivosti u vanjskim funkcijama knjižnica. U ovom trenutku izolacija je uključena samo za knjižnicu , koja je odgovorna za prikazivanje fontova. RLBox kompajlira C/C++ kod izolirane knjižnice u nisko razinu međukoda WebAssembly, koji se zatim oblikuje kao WebAssembly modul čije se privilegije definiraju samo za taj modul. Skupni modul radi u odvojenoj memorijskoj zoni i nema pristup preostalom adresnom prostoru. U slučaju iskorištavanja ranjivosti u knjižnici, napadač će biti ograničen i neće moći pristupiti područjima memorije glavnog procesa ili prenijeti kontrolu izvan izoliranog okruženja.
- DNS over HTTPS (DoH, DNS preko HTTPS) za korisnike iz SAD-a. Kao zadani DNS davatelj predlaže se CloudFlare (mozilla.cloudflare-dns.com u Roskomnadzora), a kao opcija dostupan je NextDNS. Promijenite davatelja ili uključite DoH u zemljama osim SAD-a, u postavkama mrežne veze. Više o DoH-u u Firefoxu možete pročitati u .
- podrška za protokole TLS 1.0 i TLS 1.1. Za pristup web stranicama putem zaštićenog kanala, poslužitelj mora podržavati barem TLS 1.2. Prema podacima Googlea, trenutno oko 0.5% učitavanja web stranica i dalje se odvija koristeći zastarjele verzije TLS-a. Isključivanje je izvršeno u skladu s IETF (Internet Engineering Task Force). Razlog zbog kojeg se odustaje od podrške za TLS 1.0/1.1 je nedostatak podrške za moderne šifre (na primjer, ECDHE i AEAD) i zahtjev za podršku starim šiframa, čija je pouzdanost u sadašnjem razvoju računalne tehnologije dovedena u pitanje (na primjer, potrebna je podrška za TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, dok se za provjeru cjelovitosti i autentifikaciju koriste MD5 i SHA-1). Pokušaj korištenja TLS 1.0 i 1.1 počevši od Firefox 74 uzrokovat će grešku. Povratak mogućnosti rada sa zastarjelim verzijama TLS-a može se izvršiti putem postavke security.tls.version.enable-deprecated = true ili pomoću gumba na stranici s greškom koja se prikazuje prilikom pristupa web stranici sa starim protokolom.
- U napomenama uz izdanje preporučuje se dodatak , koji automatski blokira ugradbene Facebook widgete sa stranica trećih strana, koji se koriste za autentifikaciju, slanje komentara i lajkove. Parametri identifikacije Facebooka izolirani su u zasebnom kontejneru, otežavajući identifikaciju korisnika na posjećenim stranicama. Mogućnost rada s glavnom stranicom Facebooka ostaje, ali se provodi njegova izolacija od ostalih stranica.
Za fleksibilniju izolaciju proizvoljnih stranica, predlaže se dodatak s realizacijom koncepta kontekstualnih kontejnera. Kontejneri omogućuju izolaciju različitih tipova sadržaja bez stvaranja zasebnih profila, što omogućava odvajanje informacija različitih grupa stranica. Na primjer, moguće je stvoriti odvojena, međusobno izolirana područja za osobnu komunikaciju, rad, kupovinu i bankovne transakcije ili organizirati istovremeno korištenje različitih korisničkih računa na jednoj web stranici. U svakom kontejneru koriste se odvojena spremišta za kolačiće, Local Storage API, indexedDB, cache i sadržaj OriginAttributes.
- U about:config dodana je postavka „browser.tabs.allowTabDetach”, koja omogućava zabranu odspajanja tabova u nova prozora. Slučajno odvajanje taba jedan je od najiritantnijih nedostataka Firefoxa, koji se pokušava eliminirati. 9 godina. Preglednik omogućuje povlačenje taba u novi prozor mišem, ali pod određenim okolnostima tab se odvaja u poseban prozor, a tijekom rada može se dogoditi da se tabovi odvoje zbog nepažljivog pomicanja miša prilikom klika na tab.
- podrške za dodatke, instalirane zaobilazno i nedovoljno vezane uz korisničke profile. Promjena se odnosi samo na instalaciju dodataka u zajedničke direktorije (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ ili ~/.mozilla/extensions/), kojima upravljaju svi primjeri Firefoxa u sustavu (bez vezivanja za korisnika). Ova metoda obično se koristi za unaprijed instalirane dodatke u distribucijama, za neprimjerenu zamjenu zajedno sa vanjskim aplikacijama, za integraciju zlonamjernih dodataka ili za zasebnu isporuku dodataka s vlastitim instalatorom. U Firefoxu 73 ranije prisilno instalirani dodaci automatski su prebačeni iz zajedničkog direktorija u individualne korisničke profile i sada se mogu putem standardnog upravitelja dodataka.
- U sustavnom dodatku Lockwise, koji dolazi s preglednikom i nudi sučelje „about:logins” za upravljanje pohranjenim lozinkama, pojavio se redoslijed sortiranja unazad (od Z do A).
- U WebRTC je poboljšana zaštita od curenja informacija o unutarnjoj IP adresi tijekom glasovnih i video poziva putem mehanizma „«, skriva lokalnu adresu iza dinamički generiranog nasumičnog identifikatora, definiranog putem Multicast DNS.
- Premješten je položaj prekidača načina prikaza „slika u slici“, koji je prekrivao gumb za prijelaz na sljedeću sliku u sučelju za grupno učitavanje fotografija na Instagramu.
- U JavaScriptu operator „?.“, namijenjen za simultanu provjeru cijelog lanca svojstava ili poziva. Na primjer, koristeći „db?.user?.name?.length“ sada se može pristupiti vrijednosti „db.user.name.length“ bez prethodnih provjera. Ako je neki element obrađen kao null ili undefined, izlaže se vrijednost „undefined“.
- podrška na stranicama i u dodacima metode Object.toSource() i globalne funkcije uneval().
- Dodano je novo događanje i s njim povezano svojstvo , koja omogućuju pozivanje handlera prilikom promjene jezika sučelja od strane korisnika.
- Omogućena je obrada HTTP zaglavlja (), koja omogućuje web stranicama da zabrane umetanje resursa (npr. slika i skripti) koji se učitavaju s drugih domena (cross-origin i cross-site). Zaglavlje može prihvatiti dvije vrijednosti: „same-origin“ (omogućuje samo zahtjeve resursa s istom shemom, nazivom domaćina i brojem porta) i „same-site“ (omogućuje samo zahtjeve s iste web stranice).
Cross-Origin-Resource-Policy: same-site
- Zadano omogućeno HTTP zaglavlje , koje omogućuje upravljanje ponašanjem API-ja i uključivanjem određenih mogućnosti (npr. može se onemogućiti pristup Geolocation API-ju, kameri, mikrofonu, prebacivanju na cijeli ekran, automatskom reproduciranju, encrypted-media, animacijama, Payment API-ju, sinkronom načinu rada XMLHttpRequest-a itd.). Za iframe blokove posebno je predložen atribut „«, koji se može primijeniti u kodu stranice za dodjelu prava određenim iframe blokovima.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: mikrofon ‘none’; geolokacija ‘none’
Ako stranica dozvoli rad s resursom za određeni iframe putem atributa „allow” i dođe zahtjev iz iframea za dobivanje dozvola za rad s tim resursom, preglednik sada prikazuje dijalog za davanje dozvola u kontekstu glavne stranice i delegira potvrđene korisničke dozvole u iframe (umjesto odvojenog potvrđivanja za iframe i glavnu stranicu). No, ako glavna stranica nema dozvola za resurs zatražen putem atributa allow, pristup za iframe prema resursu odmah , bez prikazivanja dijaloga korisniku.
- Podrška za CSS svojstvo „‘, koje određuje poziciju podcrtavanja teksta (na primjer, prilikom vertikalnog prikazivanja teksta podcrtavanje se može organizirati lijevo ili desno, a pri horizontalnom ne samo na dnu, nego i na vrhu) je uključena prema zadanim postavkama. Dodatno, u kontrolnim stilovima podcrtavanja CSS svojstava i dodana je podrška za korištenje postotnih vrijednosti.
- U CSS svojstvu , koji određuje stil linije oko elemenata, prema zadanim postavkama je dozvoljeno korištenje vrijednosti „auto” (ranije je to bilo zbog problema u GNOME).
- U JavaScript debageru omogućena je mogućnost debagiranja ugniježdenih Web Workera, čije se izvršavanje može pauzirati i korak po korak debagirati pomoću točaka prekida.
- U sučelju za inspekciju web-stranica osigurano je prikazivanje upozorenja za CSS svojstva koja ovise o pozicioniranim elementima z-index, top, left, bottom i right.
- Za Windows i macOS implementirana je mogućnost uvoza profila iz preglednika Microsoft Edge temeljenog na Chromiumu.
Osim novina i ispravki grešaka, u Firefoxu 74 uklonjeno je , od kojih je 10 (sakupljena pod i ) označeno kao potencijalno sposobno za izvršavanje koda napadača prilikom otvaranja posebno oblikovanih stranica. Podsjećamo, problemi s memorijom, kao što su prelivanja bafera i pristup već oslobođenim područjima memorije, od nedavno se označavaju kao opasni, ali ne kritični.
Izvor: opennet.ru
