Megjelent a web böngésző , valamint Firefox 68.6 Android platformhoz. Ezenkívül frissítés készült hosszú távú támogatással . Hamarosan szakaszra lép a Firefox 75 ágra, amelynek kiadása április 7-re van tervezve (projek 4-5 hetes ). A Firefox 75 bétája képzés Linuxra Flatpak formátumban.
:
- A Linux verziókban egy izolációs mechanizmus van alkalmazva , amely a harmadik féltől származó függvénykönyvtárak sebezhetőségeinek kihasználásának blokkolására irányul. Jelenleg az elszigetelés csak a könyvtár esetében aktív. , amely a betűk megjelenítéséért felelős. A RLBox a C/C++ kód lefordítását végzi egy elkülönített könyvtárból alacsony szintű WebAssembly köztes kódra, amelyet ezután WebAssembly modul formájába csomagolnak, és a hatáskörök csak ehhez a modulhoz vannak kötve. Az összegyűjtött modul egy külön memóriaterületen működik, és nincs hozzáférése a többi címzési térhez. Ha a könyvtárban sebezhetőséget használnak ki, a támadó korlátozott lesz, és nem tud hozzáférni a fő folyamat memóriaterületeihez, vagy átadni az irányítást az elkülönített környezetből.
- A DNS HTTPS-en keresztüli futtatása (DoH, DNS over HTTPS) az Egyesült Államokbeli felhasználók számára. Alapértelmezett DNS-szolgáltatóként a CloudFlare (mozilla.cloudflare-dns.com) van megadva be. Roszkomnadzor által), míg opcionálisan elérhető a NextDNS. A szolgáltató megváltoztatása vagy a DoH engedélyezése az Egyesült Államokon kívül a hálózati kapcsolat beállításaiban. A DoH-ról a Firefoxban egy .
- a TLS 1.0 és TLS 1.1 protokollok támogatása. Azok számára, akik védett csatornán keresztül kívánják elérni a weboldalakat, a szervernek legalább a TLS 1.2 támogatását kell biztosítania. A Google adatai szerint jelenleg körülbelül 0,5%-a a weboldalak betöltésének régi TLS verziók használatával történik. A letiltás a következő szerint történt: IETF (Internet Engineering Task Force). A TLS 1.0/1.1 támogatásának leállításának oka a modern titkosítások (például ECDHE és AEAD) hiánya, valamint a régi titkosítások támogatásának követelménye, amelyek megbízhatósága a számítástechnika modern fejlődésének szakaszában megkérdőjelezhető (például a TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA támogatása szükséges, az integritás és az autentikálás ellenőrzésére pedig MD5 és SHA-1 használata szükséges). A TLS 1.0 és TLS 1.1 használata esetén a Firefox 74-től kezdődően hibaüzenet jelenik meg. A régi TLS verziókkal való munka lehetősége visszaállítható a security.tls.version.enable-deprecated = true beállítással vagy a hibaüzenetet megjelenítő oldalon található gomb segítségével, amikor egy régi protokollal rendelkező weboldalra látogatunk.
- A kiadási megjegyzésben ajánlott egy kiegészítő , amely automatikusan blokkolja a harmadik féltől származó weboldalakon elhelyezett Facebook widgeteket, amelyeket az azonosításhoz, hozzászólások küldéséhez és lájkoláshoz használnak. A Facebook azonosító paraméterei egy külön tartályban vannak elszigetelve, megnehezítve a felhasználó azonosítását az meglátogatott weboldalakkal. A fő Facebook weboldallal való munka lehetősége megmarad, de annak izolációja az egyéb weboldalaktól megtörténik.
Rugalmasabb izoláció érdekében javasolt egy kiegészítő a kontextuális tárolók megvalósításával. A tárolók lehetőséget biztosítanak különböző típusú tartalmak elszigetelésére anélkül, hogy külön profilokat kellene létrehozni, így lehetővé téve a különböző oldalcsoportok információinak elkülönítését. Például létrehozhatók elkülönített, egymástól független területek a személyes kommunikáció, munka, vásárlás és banki tranzakciók számára, vagy lehetővé tehető a felhasználó különböző fiókjainak egyidejű használata egy webhelyen. Minden tárolóban külön tárolók használatosak a sütik, Local Storage API, indexedDB, gyorsítótár és a OriginAttributes tartalmához.
- Az about:config beállítások közé bekerült a „browser.tabs.allowTabDetach” lehetőség, amely megakadályozza a fülek új ablakokba való leválasztását. A véletlenszerű fülleválasztás a Firefox egyik legbosszantóbb hibája, amelynek kiküszöbölése 9 éve folyamatban van. A böngésző lehetővé teszi, hogy az egérrel áthúzzuk a fület egy új ablakba, de egy bizonyos körülmény esetén a fül leválasztódik egy külön ablakba, és a munka közben, ha nem figyelünk az egérmozgásra kattintáskor a fülön.
- kiegészítők támogatása, amelyeket mellékúton lehet telepíteni, és nem felhasználói profilokhoz kapcsolódnak. A változás csak a közös könyvtárakban (i.e. /usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ vagy ~/ .mozilla/extensions/) telepített kiegészítők telepítését érinti, amelyeket a Firefox minden példánya kezel a rendszeren belül (felhasználóhoz nem kötődően). Ez a módszer általában a kiegészítők előtelepítésére vonatkozó disztribúciókban, nemkívánatos beszúrásra harmadik féltől származó alkalmazásokkal együtt, káros kiegészítők integrálására vagy egy különálló kiegészítő szállítására a saját telepítőjével alkalmazandó. A Firefox 73-ban a korábban kötelezően telepített kiegészítők automatikusan áthelyezésre kerültek a közös könyvtárból a felhasználók egyedi profiljaiba, és mostantól az alapértelmezett kiegészítőkezelőn keresztül érhetők el.
- A böngészőhöz tartozó Lockwise kiegészítőben, amely az „about:logins” felületet kínálja a mentett jelszavak kezelésére, lehetőség nyílt a sorrend megfordítására (Z-től A-ig).
- A WebRTC-ben növelték a védelmet a belső IP-cím kiszivárgása ellen hang- és videohívások során a „“ mechanizmus segítségével, amely a helyi címet egy dinamikusan generált véletlenszerű azonosító mögé rejti, amelyet a Multicast DNS határoz meg.
- Megváltozott a 'kép a képben' megjelenítési mód kapcsolójának helye, amely lefedte a következő képre való áttérés gombját az Instagram fényképek csoportos feltöltésének felületén.
- JavaScript-ben A '?.' operátor, amely a teljes tulajdonság- vagy hívási lánc egyszeri ellenőrzésére szolgál. Például, ha megadjuk a 'db?.user?.name?.length' kifejezést, akkor most a 'db.user.name.length' értékhez férhetünk hozzá előzetes ellenőrzések nélkül. Ha bármelyik elem null vagy undefined, akkor az kimeneti értékként 'undefined'-ot ad.
- A Object.toSource() módszer és a globális uneval() funkció támogatása a weboldalakon és bővítményekben.
- Új esemény hozzáadva és a hozzá tartozó tulajdonság , amelyek lehetővé teszik a kezelő hívását, amikor a felhasználó vált a felhasználói felület nyelvén.
- Engedélyezve van a HTTP fejléc feldolgozása (), amely lehetővé teszi a weboldalak számára, hogy megakadályozzák más domainekről (cross-origin és cross-site) betöltött erőforrások (például képek és szkriptek) beszúrását. A fejlécre két értéket lehet beállítani: 'same-origin' (csak ugyanazon séma, host név és portszám erőforrásainak kérése engedélyezett) és 'same-site' (csak ugyanazon webhelyről érkező kérések engedélyezettek).
Cross-Origin-Resource-Policy: same-site
- Alapértelmezés szerint engedélyezve van a HTTP fejléc , amely lehetővé teszi az API-k viselkedésének és bizonyos funkciók (például a Geolocation API, a kamera, a mikrofon, a teljes képernyőre váltás, az automatikus lejátszás, az encrypted-media, az animációk, a Payment API, az XMLHttpRequest szinkron működése stb.) engedélyezésének kezelését. Az iframe blokkokhoz külön ajánlott az '' attribútum, amely alkalmazható az oldalkódban bizonyos iframe blokkok jogosultságainak hozzárendelésére.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: microphone 'none'; geolocation 'none'
Ha az oldal lehetővé teszi az erőforrással való munkát egy adott iframe esetén az 'allow' attribútumon keresztül, és megérkezik az iframe-ből a jogosultságok kérésére, akkor a böngésző most a fő oldal kontextusában jeleníti meg a jogosultságok biztosításához szükséges párbeszédpanelt, és átruházza a felhasználó által megerősített jogokat az iframe-re (ahelyett, hogy külön értesítést kérne az iframe-hez és a fő oldalhoz). De ha a fő oldal nem rendelkezik jogosultsággal a 'allow' attribúttal kért erőforrásra, akkor az iframe hozzáférése az erőforráshoz azonnal , a felhasználói párbeszédpanel megjelenítése nélkül.
- Alapértelmezetten engedélyezve van a CSS-esemény tulajdonságának támogatása ‘‘, amely meghatározza a szöveg aláhúzásának helyét (például függőleges szöveg megjelenítése esetén lehetőség van az aláhúzás bal vagy jobb oldalra helyezésére, míg vízszintes esetben nemcsak alul, hanem felül is elhelyezhető). Továbbá a CSS-aláhúzás stílust irányító tulajdonságokban és hozzáadva a százalékos értékek használatának támogatása.
- A CSS-tulajdonságokban , amely meghatározza a vonalak stílusát az elemek körül, alapértelmezetten engedélyezett az “auto” érték használata (korábban a GNOME problémái miatt).
- A JavaScript debuggerben A beágyazott Web Worker-ek hibakeresésének lehetősége, amelyek futása szüneteltethető és lépésről lépésre hibakereshető megszakítási pontok alkalmazásával.
- A weboldalak vizsgálatához biztosított felületen figyelmeztetések jelennek meg a CSS-tulajdonságokhoz, amelyek a z-index, top, left, bottom és right pozicionáló elemekből függenek.
- Windows és macOS rendszerekhez megvalósították a Microsoft Edge Chromium motorra épülő böngészőből történő profilimportálás lehetőségét.
A Firefox 74-ben új lehetőségek és hibajavítások mellett , ebből 10 (Összegyűjtve: és ) úgy van megjelölve, mint potenciálisan képes a kód végrehajtására az elkövető által, speciálisan kialakított oldalak megnyitásakor. Emlékeztetünk rá, hogy a memória problémákat, mint például a buffertúlcsordulásokat és a már felszabadított memória területekhez való hozzáférést, most már veszélyes, de nem kritikus jelzésűként osztályozzák.
Forrás: opennet.ru
