È stato rilasciato il browser web Firefox 145 e sono stati creati aggiornamenti per le versioni precedenti con supporto a lungo termine — 140.5.0 e 115.30.0. La versione Firefox 146 è passata alla fase di beta testing, il cui rilascio è previsto per il 9 dicembre.
Le principali novità in Firefox 145 (1, 2, 3):
- Terminato il supporto per i sistemi Linux a 32 bit. Si segnala che la manutenzione di Firefox su piattaforme a 32 bit sta diventando sempre più complessa e inaffidabile, mentre il supporto per le versioni a 32 bit è già stato interrotto nella maggior parte delle distribuzioni Linux. Si raccomanda agli utenti di distribuzioni Linux a 32 bit di passare a sistemi operativi a 64 bit. Per coloro che non possono aggiornare rapidamente la distribuzione, è disponibile la versione ESR di Firefox 140, i cui aggiornamenti per la risoluzione delle vulnerabilità saranno forniti almeno fino a settembre dell'anno prossimo.
- Rinforzati i bordi arrotondati di pulsanti, schede, barra degli indirizzi e campi di input.
- Nel visualizzatore PDF integrato è stata implementata la possibilità di aggiungere, modificare e rimuovere commenti/osservazioni. Per la navigazione e la visualizzazione dei commenti esistenti è stata aggiunta una specifica barra laterale. Durante l'aggiunta di un commento, è possibile scegliere il colore per evidenziarlo sullo sfondo generale.
- Spostando il cursore sulla scheda di un gruppo di schede ridotto, viene mostrata un'elenco delle schede nel gruppo, che consente di aprire rapidamente la scheda desiderata senza dover espandere l'intero gruppo.
- Aggiunta la possibilità di gestire le password salvate direttamente dalla barra laterale senza la necessità di aprire il gestore delle password in una finestra o scheda separata.
- Proposta una nuova selezione di immagini di sfondo per la pagina di apertura della nuova scheda, disponibili nelle versioni per modalità chiara e scura.
- Nelle impostazioni delle schede è stata aggiunta un'opzione per posizionare la scheda creata aprendo collegamenti da applicazioni esterne accanto alla scheda attiva, piuttosto che alla fine dell'elenco delle schede.
- Nel menu contestuale è stata aggiunta l'opzione "Copia link per evidenziare", che consente di generare un collegamento a un frammento di testo evidenziato sulla pagina. Per accedere al testo selezionato si utilizzano collegamenti del tipo "https://www.example.com #:~:text=maschera".
- Le capacità della modalità di protezione contro l'identificazione invisibile dell'utente (Fingerprinting Protection), utilizzata quando si attiva la protezione avanzata contro il tracciamento (ETP, Enhanced Tracking Protection => Strict) o quando si aprono pagine in modalità di navigazione privata, sono state ampliate. Le modifiche apportate hanno consentito di ridurre quasi della metà l'efficacia dei metodi di identificazione invisibile rispetto alla protezione precedentemente disponibile.
Per rafforzare la sicurezza, sono state restituite costantemente le stesse informazioni per i parametri che possono essere utilizzati come ulteriori indicatori per l'identificazione, e l'accesso ai dati sull'hardware, come il numero di tocchi simultanei supportati dal touchpad e il numero di core del processore, è stato limitato. È stata implementata l'inserimento di rumore casuale durante il tentativo di lettura da script di immagini generate tramite l'elemento canvas. È stata disabilitata la visualizzazione di testi sulla pagina utilizzando font personalizzati installati localmente.
- In modalità di protezione avanzata (strict) contro il tracciamento dei movimenti (ETP, Enhanced Tracking Protection), è stata attivata per impostazione predefinita la protezione contro il tracciamento tramite redirect (Bounce Tracking Protection). Il meccanismo di Bounce Tracking Protection consente di rilevare attività specifiche legate al tracciamento tramite redirect e di pulire periodicamente i cookie e i dati salvati localmente utilizzati per il tracciamento. A differenza della modalità "Cookie Purging", la pulizia avviene non sulla base di un elenco di tracker noti, ma in base a un'euristica che consente di identificare nuovi siti di tracker analizzando il comportamento dopo il redirect.
Il concetto del metodo di tracciamento tramite reindirizzamenti è che il codice del tracker reindirizza l'utente inizialmente al proprio sito, e da qui lo trasferisce alla pagina target, consentendo al tracker di conservare i cookie e i dati nell'archiviazione locale associati al proprio sito. La conservazione dei dati dopo il passaggio a un altro sito permette di aggirare i metodi precedentemente implementati nel browser per bloccare operazioni cross-site — poiché la pagina intermedia si apre al di fuori del contesto di un altro sito, su tale pagina è possibile installare senza problemi cookie di tracciamento.
- Aggiunta la supporto per i contenitori Matroska (per i codec AVC, HEVC, VP8, VP9, AV1, AAC, Opus e Vorbis).
- Nella sistema di traduzione automatica integrato, è stato migliorato il comfort di traduzione tra lingue con diversi orientamenti dei caratteri. Per comprimere i modelli installati localmente è stato utilizzato l'algoritmo Zstandard, che ha permesso di ridurre le dimensioni dei dati scaricati e risparmiare spazio sullo storage locale.
- Nelle configurazioni senza estensioni installate, il clic sul pulsante della barra di accesso alle estensioni ora porta alla visualizzazione di una spiegazione sui benefici delle estensioni con un link al catalogo delle estensioni.
- In JavaScript, è stato implementato il metodo Atomics.waitAsync(), che offre una versione asincrona del metodo Atomics.wait(), consentendo di attendere la definizione della posizione del SharedArrayBuffer in modo simile a Atomics.wait(), ma restituendo una Promise.
- Aggiunta la supporto per le intestazioni HTTP Integrity-Policy e Integrity-Policy-Report-Only, che consentono di effettuare una verifica dell'integrità degli script caricati.
- Implementata la proprietà CSS text-autospace, che esegue una correzione automatica della distanza tra caratteri di diversi sistemi di scrittura (ad esempio, tra caratteri latini e ideogrammi).
- Nella proprietà CSS font-family è stata aggiunta la supporto per la famiglia di caratteri «math» per la corretta visualizzazione delle espressioni matematiche.
- Nell'API ToggleEvent è stata aggiunta la proprietà source, contenente un oggetto Element, che rappresenta l'elemento di controllo che ha innescato il cambiamento di stato, in risposta al quale è stato generato l'evento Toggle. Ad esempio, quando un utente clicca su un elemento «
- Nelle build per la piattaforma Windows, l'icona di avvio di Firefox è stata sostituita da una mini-applicazione (launcher) che avvia Firefox, se già installato, o avvia l'installer, se non è ancora presente nel sistema.
- Su computer Apple con chip Apple Silicon e sistema operativo macOS 26 è stato implementato il supporto per l'API WebGPU.
- In Firefox per Android:
- Verifica obbligatoria attivata di certificati TLS server web in registri pubblici Certificate Transparency, destinati a identificare i certificati creati in violazione dei normali flussi di lavoro dell'autorità di certificazione (ad esempio, la creazione nascosta di un certificato a causa di abusi da parte di un dipendente o compromissione dell'autorità di certificazione).
- Per accelerare la verifica della revoca dei certificati TLS, è stato utilizzato il meccanismo CRLite, che opera sul sistema dell'utente. Una base di dati salvata localmente con informazioni sui certificati viene periodicamente sincronizzata con una base di dati esterna di Mozilla.
- Per TLS 1.3 e HTTP/3, è stata aggiunta la supporto per l'algoritmo ibrido di scambio di chiavi «mlkem768x25519», resistente agli attacchi dei computer quantistici e costituito da una combinazione di X25519 ECDH e l'algoritmo ML-KEM (CRYSTALS-Kyber).
- I componenti dello stack di rete per i protocolli QUIC e HTTP/3 sono stati sostituiti da un'implementazione, scritta in linguaggio Rust, e caratterizzata da una maggiore maggiore prestazione.
Oltre alle novità e alla correzione di errori, Firefox 145 ha risolto 19 vulnerabilità. Dieci vulnerabilità sono causate da problemi di gestione della memoria, come il buffer overflow e l'accesso ad aree di memoria già liberate. Questi problemi potrebbero potenzialmente portare all'esecuzione di codice malevolo aprendo pagine appositamente progettate.
Fonte: opennet.ru
