Rilascio di Firefox 119

È stato rilasciato il web browser Firefox 119 e creata un'aggiornamento della branch con supporto a lungo termine — 115.4.0. La branch Firefox 120 è entrata in fase di beta testing, con rilascio previsto per il 21 novembre.

Novità principali in Firefox 119:

• È stata proposta un'interfaccia aggiornata per la pagina Firefox View, che semplifica l'accesso ai contenuti visualizzati in precedenza. Nella pagina Firefox View, tutte le informazioni su schede attive, pagine visitate di recente, schede chiuse e schede da altri dispositivi sono raccolte in un unico posto. Nella nuova versione di Firefox View è fornita la visualizzazione delle informazioni su tutte le schede aperte in qualsiasi finestra, è stata inoltre aggiunta la possibilità di visualizzare la cronologia delle visite con ordinamento per data o sito.
• È stata attivata la possibilità di importare le estensioni da Chrome e dai browser basati sul motore Chromium. Nella finestra di dialogo per l'importazione dei dati da altri browser ("Importa dati" nella pagina about:preferences#general) è stata aggiunta un'opzione per trasferire le estensioni. Per il trasferimento è stato utilizzato un elenco di 72 estensioni, in cui sono abbinati gli identificativi delle stesse estensioni esistenti per Chrome e Firefox. Se durante l'importazione dei dati da Chrome sono presenti estensioni della lista, in Firefox viene installata la versione nativa per Firefox invece di quella per Chrome.
• È stata aggiunta la supporto per il meccanismo ECH (Encrypted Client Hello), che continua a sviluppare l'ESNI (Encrypted Server Name Indication) ed è utilizzato per crittografare le informazioni sui parametri delle sessioni TLS, come il nome di dominio richiesto. La principale differenza tra ECH e ESNI è che in ECH, a differenza della crittografia a livello dei singoli campi, viene crittografato l'intero messaggio TLS ClientHello, il che consente di bloccare le perdite attraverso campi non coperti dall'ESNI, ad esempio il campo PSK (Pre-Shared Key).
• Nelle funzionalità di editing dei documenti fornite dal visualizzatore PDF integrato è stata aggiunta la possibilità di inserire immagini e note testuali ad esse, in aggiunta alla possibilità di disegnare a mano libera e allegare commenti testuali già disponibili. La nuova modalità di editing PDF è attivata solo per alcuni utenti; per attivarla forzatamente nella pagina about:config è necessario attivare l'impostazione "pdfjs.enableStampEditor".
• Sono state modificate le impostazioni relative al ripristino della sessione interrotta dopo la chiusura del browser. A differenza delle versioni precedenti, ora vengono conservate informazioni non solo sulle schede attive, ma anche su quelle recentemente chiuse, il che consentirà di ripristinare schede chiuse per errore dopo il riavvio e di visualizzarne l'elenco nella modalità Firefox View. Di default, verranno salvati i dati sulle ultime 25 schede aperte negli ultimi 7 giorni. Le informazioni sulle schede in finestre chiuse verranno prese in considerazione e l'elenco delle schede chiuse sarà gestito nel contesto di tutte le finestre aperte, non solo di quella corrente.
• Sono state ampliate le funzionalità della modalità di protezione totale dei cookie (Total Cookie Protection), in cui per ogni sito viene utilizzato un magazzino cookie isolato, il che impedisce l'uso dei cookie per tracciare il passaggio tra i siti (tutti i cookie impostati dai blocchi di terze parti caricati sul sito (iframe, js, ecc.) sono legati al sito da cui sono stati caricati). Nella nuova versione è stata implementata l'isolamento dello schema URI 'blob:…' (Blob URL), che può essere potenzialmente utilizzato per trasferire informazioni utili al tracciamento degli utenti.
• Per gli utenti della modalità di lavoro rigorosa (strict) del meccanismo di protezione contro il tracciamento (ETP, Enhanced Tracking Protection) è stata attivata un'ulteriore protezione contro l'identificazione indiretta degli utenti tramite l'analisi dei font: i font visibili ai siti sono limitati ai font di sistema e ai font dei set linguistici standard.
• Nel pacchetto snap di Firefox è stata implementata la possibilità di utilizzare il dialogo di selezione file nativo di Ubuntu quando si accede ai dati di altri browser, nonché il supporto per la determinazione delle capacità disponibili in base alla versione installata di xdg-desktop-portal.
• È stato aggiunto il supporto per la selezione del monitor per la posizione della finestra del browser, avviato in modalità chiosco. Il monitor viene selezionato tramite il parametro della riga di comando '--kiosk-monitor'. È garantito il passaggio del browser alla modalità a schermo intero immediatamente dopo l'avvio in modalità chiosco.
• È stata interrotta la rilevazione del contenuto multimediale nei file trattati con il tipo MIME 'application/octet-stream'. Per tali file, ora il browser suggerirà di scaricarli, invece di iniziare la loro riproduzione.
• Nell'ambito della preparazione per l'inclusione nel blocco dei cookie di terze parti in Firefox, è stata aggiornata l'implementazione dell'API Storage Access, utilizzata per richiedere all'utente i diritti di accesso ai cookie memorizzati da un iframe, quando i cookie di terze parti sono bloccati per impostazione predefinita. Nella nuova implementazione è stata rinforzata la protezione e sono state aggiunte modifiche per evitare problemi nel funzionamento dei siti web.
• Per gli elementi personalizzati (Custom Element), che estendono la funzionalità degli elementi HTML esistenti, è stata abilitata la supporto per gli attributi ARIA (Accessible Rich Internet Applications), che rendono questi elementi più accessibili per le persone con disabilità. È stata aggiunta la possibilità di impostare e leggere gli attributi ARIA direttamente per gli elementi DOM (ad esempio, buttonElement.ariaPressed = «true») senza richiamare i metodi setAttribute e getAttribute.
• Nell'intestazione HTTP Cross-Origin-Embedder-Policy, che gestisce la modalità di isolamento tra origini e permette di definire regole per un uso sicuro di operazioni privilegiate sulla pagina, è stato aggiunto il supporto per il parametro «credentialless» per disabilitare la trasmissione di informazioni relative alle credenziali, come i cookie e i certificati client.
• Nella funzione CSS attr() è stata aggiunta la possibilità di specificare un secondo argomento, il cui valore sarà utilizzato nelle situazioni in cui l'attributo specificato è assente o ha un valore non valido. Ad esempio, attr(foobar, «Default value»).
• Sono stati aggiunti i metodi Object.groupBy e Map.groupBy per raggruppare gli elementi di un array, utilizzando come chiave per il raggruppamento un valore stringa restituito da una funzione di callback invocata per ciascun elemento dell'array.
• Sono stati aggiunti i metodi: String.prototype.isWellFormed() per verificare la presenza di testo Unicode formattato correttamente in una stringa (si verifica la presenza solo di «coppie di surrogate» complete) e String.prototype.toWellFormed() per ripulire e trasformare il testo Unicode in una forma corretta.
• Nei metodi WebTransport.createBidirectionalStream() e WebTransport.createUnidirectionalStream() è stato aggiunto il supporto per la proprietà «sendOrder» per stabilire la priorità relativa dei flussi inviati.
• Nell'API AuthenticatorAttestationResponse sono stati proposti nuovi metodi getPublicKey(), getPublicKeyAlgorithm() e getAuthenticatorData().
• Nell'API Web Authentication è stato aggiunto il supporto per le proprietà credProps, che consentono di determinare la presenza di credenziali dopo la creazione o la registrazione.
• Nell'API PublicKeyCredential sono stati aggiunti i metodi parseCreationOptionsFromJSON(), parseRequestOptionsFromJSON() e toJSON() per convertire gli oggetti in un formato JSON adatto per la serializzazione/deserializzazione e la trasmissione a server.
• Negli strumenti per lo sviluppo web è stato migliorato l'interfaccia per l'interazione con il CSS (Inactive CSS styles), che ora consente di identificare le proprietà CSS che non influenzano l'elemento e include un pieno supporto per i pseudo-elementi come «::first-letter», «::cue» e «::placeholder».
• Nel visualizzatore integrato dei dati in formato JSON è stato implementato il passaggio automatico alla visualizzazione raw dei dati qualora i dati JSON visualizzati siano non validi o danneggiati.
• Sulla piattaforma Windows è stata aggiunta la supporto per un'impostazione di sistema che nasconde il cursore durante la digitazione.
• Nella versione per la piattaforma Android è stato risolto un crash che si verificava quando si visualizzava video a schermo intero. È stato aggiunto il supporto per le media query prefers-contrast e prefers-reduced-transparency nell'ambiente Android 14.

Oltre alle novità e alle correzioni di bug, in Firefox 119 sono state eliminate 25 vulnerabilità. 17 vulnerabilità (16 unite sotto CVE-2023-5730 e CVE-2023-5731), contrassegnate come pericolose, sono state causate da problemi di gestione della memoria, come buffer overflow e accessi a aree di memoria già liberate. Questi problemi potrebbero portare all'esecuzione di codice malevolo aprendo pagine appositamente formattate. Un'altra vulnerabilità pericolosa (CVE-2023-5721) consente, tramite clickjacking, la conferma o l'annullamento di certi dialoghi o avvisi del browser.

Fonte: opennet.ru