Rilascio di Firefox 109

È stato rilasciato il browser web Firefox 109. Inoltre, è stato creato un aggiornamento per la versione a lungo termine — 102.7.0. La versione Firefox 110 entrerà in fase di beta test a breve, con il rilascio previsto per il 14 febbraio.

Le principali novità in Firefox 109:

• Per impostazione predefinita, è abilitato il supporto per la terza versione del manifest di Chrome, che definisce le capacità e le risorse disponibili per le estensioni scritte utilizzando le API WebExtensions. Il supporto per la seconda versione del manifest sarà mantenuto nel prossimo futuro. Poiché la terza versione del manifest ha ricevuto critiche e provocherà il malfunzionamento di alcune estensioni per il blocco dei contenuti indesiderati e la sicurezza, Mozilla ha deciso di non garantire più la piena compatibilità con il manifest in Firefox, implementando alcune funzionalità in modo diverso. Ad esempio, non è stato interrotto il supporto per la vecchia modalità di blocco dell'API webRequest, sostituita da un nuovo API dichiarativo per la filtrazione dei contenuti in Chrome. Inoltre, il supporto per il modello di richiesta delle autorizzazioni è stato implementato in modo leggermente diverso, secondo il quale l'estensione non può attivarsi immediatamente su tutte le pagine (è stata rimossa l'autorizzazione "all_urls"). In Firefox, la decisione finale di concedere l'accesso è fornita all'utente, che può decidere selettivamente a quali estensioni concedere accesso ai propri dati su un dato sito. Per gestire le autorizzazioni, è stato aggiunto un pulsante "Unified Extensions" nell'interfaccia, tramite il quale l'utente può concedere e revocare l'accesso dell'estensione a qualsiasi sito. La gestione delle autorizzazioni si applica solo alle estensioni basate sulla terza versione del manifest, mentre per le estensioni sulla seconda versione non è prevista una gestione granulare dell'accesso ai siti.
  
• La pagina di Firefox View ha migliorato la disposizione delle sezioni vuote con le schede recentemente chiuse e le schede aperte su altri dispositivi.
• Nell'elenco delle schede recentemente chiuse, mostrato sulla pagina di Firefox View, sono stati aggiunti i pulsanti per rimuovere singoli link dall'elenco.
• È stata aggiunta la possibilità di visualizzare nella barra degli indirizzi la query di ricerca inserita, invece di mostrare l'URL del motore di ricerca (cioè le chiavi vengono visualizzate nella barra degli indirizzi non solo durante la digitazione, ma anche dopo aver utilizzato il motore di ricerca e mostrato i risultati rilevanti per le chiavi inserite). Questa possibilità è attualmente disabilitata per impostazione predefinita e richiede la modifica dell'impostazione «browser.urlbar.showSearchTerms.featureGate» in about:config per essere attivata.
• La finestra di dialogo per la selezione della data per il campo con tipi «date» e «datetime» è stata adattata per la gestione tramite tastiera, garantendo un supporto corretto per i lettori di schermo e consentendo l'uso di combinazioni di tasti per la navigazione nel calendario.
• Si è concluso l'esperimento sull'utilizzo del componente integrato Colorways per modificare l'aspetto del browser (era disponibile una collezione di temi colorati per l'area dei contenuti, le barre e la barra delle schede). È possibile accedere ai temi colorati salvati in precedenza nella pagina «Componenti aggiuntivi e temi».
• Nei sistemi con GTK è stata implementata la possibilità di spostare contemporaneamente più file nel gestore file. È stato reso possibile spostare immagini da una scheda all'altra.
• Nella funzione di auto clic sui banner che richiedono autorizzazioni per l'uso dei cookie sui siti (cookiebanners.bannerClicking.enabled e cookiebanners.service.mode in about:config), è stata implementata la possibilità di aggiungere siti a un elenco di eccezioni per i quali non si applica l'auto clic.
• È abilitata per impostazione predefinita l'impostazione network.ssl_tokens_cache_use_only_once per escludere il riutilizzo dei ticket di sessione in TLS.
• È attivata l'impostazione network.cache.shutdown_purge_in_background_task, che risolve il problema del corretto completamento dell'input/output dei file al momento della chiusura.
• Nel menu contestuale delle estensioni è stato aggiunto un elemento («Fissa sulla barra degli strumenti») per fissare il pulsante dell'estensione sulla barra.
• È stata aggiunta la possibilità di utilizzare Firefox come visualizzatore di documenti, selezionabile nel sistema tramite il menu contestuale "Apri con".
• Nella pagina about:support sono state aggiunte informazioni sulla frequenza di aggiornamento dello schermo.
• Sono state aggiunte le impostazioni ui.font.menu, ui.font.icon, ui.font.caption, ui.font.status-bar, ui.font.message-box, ecc. per sovrascrivere i font di sistema.
• È stata abilitata per impostazione predefinita la supporto per l'evento scrollend, generato al termine dello scorrimento da parte dell'utente (quando la posizione smette di cambiare) negli oggetti Element e Document.
• È stata garantita una sezione di accesso attraverso l'API Storage durante la gestione di contenuti di terze parti, indipendentemente dall'API Storage Access.
• Nell'elemento range è stata aggiunta la supporto per l'attributo list, in cui viene passato l'identificatore dell'elemento con l'elenco dei valori predefiniti proposti per l'input.
• Nella proprietà CSS content-visibility, utilizzata per escludere il rendering non necessario delle aree al di fuori del campo visivo, è stato aggiunto il valore ‘auto’, che determina la visibilità basandosi sulla vicinanza dell'elemento al confine dell'area visibile.
• Nel tipo CSS , che definisce i valori predefiniti dei colori di vari componenti della pagina, è stata aggiunta la supporto per i valori Mark, MarkText e ButtonBorder.
• In Web Auth è stata aggiunta la possibilità di autenticazione utilizzando il protocollo CTAP2 (Client to Authenticator Protocol) con token basati su USB HID. Attualmente, il supporto non è abilitato per impostazione predefinita e può essere attivato tramite il parametro security.webauthn.ctap2 in about:config.
• Negli strumenti per sviluppatori web, nel debugger JavaScript è stata aggiunta una nuova opzione di interruzione che si attiva quando si passa al gestore dell'evento scrollend.
• Nel protocollo di automazione del browser WebDriver BiDi è stato aggiunto il supporto per i comandi 'session.subscribe' e 'session.unsubscribe'.
• Nelle build per la piattaforma Windows è stato abilitato l'uso del meccanismo di protezione hardware ACG (Arbitrary Code Guard) per bloccare lo sfruttamento delle vulnerabilità nei processi che consentono la riproduzione dei contenuti multimediali.
• Sulla piattaforma macOS è stato modificato il comportamento delle combinazioni Ctrl/Cmd + trackpad o Ctrl/Cmd + scroll del mouse, che ora provocano lo scorrimento (come negli altri browser) anziché il ridimensionamento.
• Miglioramenti nella versione per Android:
  • Durante la visualizzazione di video a schermo intero, è stata disabilitata la visualizzazione della barra degli indirizzi durante lo scorrimento.
  • Aggiunta un pulsante per annullare le modifiche dopo la rimozione di un sito fissato.
  • Aggiornato l'elenco dei motori di ricerca dopo il cambio di lingua.
  • Risolto un arresto anomalo che si verificava quando veniva inserita una grande quantità di dati negli appunti o nella barra degli indirizzi.
  • Migliorata la performance dell'output degli elementi canvas.
  • Risolto un problema con le videochiamate che potevano utilizzare solo il codec H.264.

Oltre alle novità e alla correzione di bug, Firefox 109 risolve 21 vulnerabilità. 15 vulnerabilità sono contrassegnate come critiche, di cui 13 vulnerabilità (riferite in CVE-2023-23605 e CVE-2023-23606) sono causate da problemi di gestione della memoria, come buffer overflow e accesso a aree di memoria già liberate. Potenzialmente, questi problemi possono consentire l'esecuzione di codice malevolo aprendo pagine appositamente create. La vulnerabilità CVE-2023-23597 è dovuta a un errore logico nel codice di creazione di nuovi processi figli e consente l'avvio di un nuovo processo nel contesto di file:// per leggere il contenuto di file arbitrari. La vulnerabilità CVE-2023-23598 è causata da un errore nella gestione delle azioni di drag&drop nel binding su GTK e consente di leggere il contenuto di file arbitrari tramite la chiamata DataTransfer.setData.

Fonte: opennet.ru