Elérhető a Firefox 101.0.1 karbantartási kiadása, amely megerősíti a sandbox izolációt a Windows platformon. Az új verzió alapértelmezés szerint lehetővé teszi a Win32k API-hoz (a kernel szintjén futó Win32 GUI-összetevők) való hozzáférés letiltását az elszigetelt tartalomfolyamatoktól. A változtatás a Pwn2Own 2022 verseny előtt történt, amelyre május 18-20. A Pwn2Own résztvevői bemutatják a korábban ismeretlen sérülékenységek kihasználására szolgáló működő technikákat, és ha sikeres, lenyűgöző jutalmakban részesülnek. Például a sandbox izoláció megkerülésének díja a Firefoxban Windows platformon 100 ezer dollár.
Az egyéb változtatások közé tartozik a kép a képben módban megjelenő feliratokkal kapcsolatos probléma kijavítása a Netflix használatakor, valamint egy olyan probléma kijavítása, amely miatt bizonyos parancsok nem voltak elérhetők a kép a képben ablakban.
Ezenkívül a jelentések szerint új követelményeket adtak a Mozilla gyökértanúsítvány-tárolási szabályaihoz. Június 1-jén lépnek életbe azok a változtatások, amelyek a régóta tapasztalt TLS-szerver-tanúsítvány-visszavonási hibákat hivatottak orvosolni.
Az első változás a tanúsítvány visszavonás okaival rendelkező kódok elszámolását érinti (RFC 5280), amelyet ezentúl a tanúsító hatóságoknak bizonyos esetekben kötelező feltüntetniük a tanúsítvány visszavonása esetén. Korábban egyes hitelesítés-szolgáltatók nem továbbították vagy formálisan rendelték hozzá ezeket az adatokat, ami megnehezítette a szervertanúsítványok visszavonásának okainak nyomon követését. Mostantól kötelezővé válik az okkódok helyes kitöltése a tanúsítvány-visszavonási listákban (CRL), és lehetővé teszi számunkra, hogy elkülönítsük a kulcsok kompromittálásával és a tanúsítványokkal való munka szabályainak megsértésével kapcsolatos helyzeteket a nem biztonsági esetektől, mint például a szervezet, domain eladása vagy egy tanúsítvány határidő előtti cseréje.
A második változás arra kötelezi a hitelesítés-szolgáltatókat, hogy a tanúsítvány-visszavonási listák (CRL) teljes URL-címét továbbítsák a gyökér- és köztes tanúsítvány-adatbázisba (CCADB, Common CA Certificate Database). A változtatás lehetővé teszi az összes visszavont TLS-tanúsítvány teljes körű figyelembevételét, valamint a visszavont tanúsítványokról a teljesebb adatok előzetes betöltését a Firefoxba, amelyek segítségével ellenőrizni lehet, hogy a TLS során nem kell kérést küldeni a hitelesítésszolgáltatók szervereire. kapcsolat beállítási folyamat.
Forrás: opennet.ru