È stata rilasciata la versione del web browser , così come Firefox 68.6 per la piattaforma Android. Inoltre, è stato creato un aggiornamento con supporto a lungo termine . A breve passerà alla fase di il ramo Firefox 75, il cui rilascio è previsto per il 7 aprile (progetto a un ciclo di ). Per il ramo beta di Firefox 75 è in fase di creazione per Linux nel formato Flatpak.
:
- Nelle build per Linux è stato utilizzato un meccanismo di isolamento , progettato per bloccare l'exploitation delle vulnerabilità nelle librerie di funzioni di terze parti. In questa fase, l'isolamento è abilitato solo per la libreria , responsabile del rendering dei caratteri. RLBox compila il codice C/C++ di una libreria isolata in codice intermedio WebAssembly a basso livello, che viene poi formalizzato in un modulo WebAssembly, i cui permessi sono limitati solo a questo modulo. Il modulo compilato opera in un'area di memoria separata e non ha accesso al resto dello spazio indirizzabile. In caso di sfruttamento di una vulnerabilità nella libreria, l'attaccante sarà limitato e non sarà in grado di accedere alle aree di memoria del processo principale o di trasferire il controllo al di fuori dell'ambiente isolato.
- Modalità DNS over HTTPS (DoH, DNS sopra HTTPS) per gli utenti negli Stati Uniti. Come provider DNS predefinito è offerto CloudFlare (mozilla.cloudflare-dns.com in Roskomnadzor), mentre NextDNS è disponibile come opzione. Cambiare il provider o abilitare DoH nei paesi diversi dagli Stati Uniti, nelle impostazioni della connessione di rete. Maggiori informazioni su DoH in Firefox possono essere trovate in .
- supporto dei protocolli TLS 1.0 e TLS 1.1. Per accedere ai siti tramite un canale sicuro, il server deve supportare almeno TLS 1.2. Secondo Google, attualmente circa lo 0,5% dei caricamenti di pagine web continua ad avvenire utilizzando versioni obsolete di TLS. La disattivazione è stata effettuata in conformità con IETF (Internet Engineering Task Force). La causa del ritiro del supporto per TLS 1.0/1.1 è l'assenza di supporto per algoritmi moderni (ad esempio ECDHE e AEAD) e la necessità di supportare vecchi algoritmi, la cui affidabilità è ora messa in discussione a causa del progresso della tecnologia (ad esempio, è necessario supportare TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, per l'integrità e l'autenticazione vengono utilizzati MD5 e SHA-1). Con il tentativo di utilizzare TLS 1.0 e TLS 1.1 a partire da Firefox 74 verrà visualizzato un errore. La possibilità di tornare a utilizzare versioni obsolete di TLS può essere ripristinata modificando l'impostazione security.tls.version.enable-deprecated = true o tramite il pulsante sulla pagina di errore, che appare quando si accede a un sito con un protocollo obsoleto.
- Nella nota di rilascio, viene raccomandato l'aggiunta di , che blocca automaticamente i widget di Facebook utilizzati per l'autenticazione, l'invio di commenti e i like sui siti di terze parti. I parametri di identificazione di Facebook sono isolati in un contenitore separato, rendendo difficile l'identificazione dell'utente con i siti visitati. È possibile continuare a interagire con il sito principale di Facebook, ma questo viene isolato dagli altri siti.
Per un'isolamento più flessibile di siti arbitrari è disponibile un'estensione che implementa il concetto di contenitori contestuali. I contenitori offrono la possibilità di isolare diversi tipi di contenuto senza creare profili separati, permettendo di separare le informazioni di diversi gruppi di pagine. Ad esempio, è possibile creare aree separate e isolate per la comunicazione personale, il lavoro, gli acquisti e le operazioni bancarie o organizzare l'uso simultaneo di diversi account utente su un sito. Ogni contenitore utilizza archivi separati per i cookie, l'API Local Storage, indexedDB, la cache e i contenuti di OriginAttributes.
- Nella configurazione about:config è stata aggiunta l'impostazione «browser.tabs.allowTabDetach», che consente di vietare il distacco delle schede in nuove finestre. Il distacco accidentale di una scheda è uno dei bug più fastidiosi di Firefox, la cui correzione è attesa da tempo. per 9 anni. Il browser consente di trascinare una scheda in una nuova finestra, ma in determinate circostanze la scheda si distacca in una finestra separata e, mentre si lavora, si distacca accidentalmente durante un movimento del mouse impreciso mentre si clicca sulla scheda.
- supporto per le estensioni installate in modo non ufficiale e non legate ai profili utente. La modifica riguarda solo l'installazione di estensioni nelle directory comuni (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ o ~/.mozilla/extensions/), gestite da tutte le istanze di Firefox nel sistema (senza legame con l'utente). Questo metodo è comunemente usato per preinstallare estensioni nelle distribuzioni, per sostituzioni non richieste insieme ad applicazioni di terze parti, per integrare estensioni dannose o per fornire un'estensione separatamente con il proprio installer. In Firefox 73, le estensioni precedentemente installate forzatamente sono state automaticamente trasferite dalla directory comune ai profili utente individuali e ora possono essere attraverso il gestore delle estensioni integrato.
- Nell'estensione di sistema inclusa nel browser Lockwise, che offre l'interfaccia «about:logins» per gestire le password salvate, è stata aggiunta la possibilità di ordinare in ordine inverso (da Z a A).
- In WebRTC è stata migliorata la protezione contro la perdita di informazioni sull'indirizzo IP interno durante le chiamate vocali e video tramite il meccanismo ««, che nasconde l'indirizzo locale dietro un identificatore casuale generato dinamicamente, definito attraverso il Multicast DNS.
- È stata modificata la posizione dell'interruttore della modalità visualizzazione «immagine nell'immagine», che sovrapponeva il pulsante per passare all'immagine successiva nell'interfaccia di caricamento batch delle foto su Instagram.
- In JavaScript l'operatore «?.», progettato per controllare simultaneamente tutta la catena di proprietà o chiamate. Ad esempio, specificando «db?.user?.name?.length» ora è possibile accedere al valore «db.user.name.length» senza controlli preliminari. Se qualche elemento viene trattato come null o undefined, verrà restituito il valore «undefined».
- supporto sui siti web e nei plug-in del metodo Object.toSource() e della funzione globale uneval().
- Aggiunto un nuovo evento e la proprietà associata , che permettono di chiamare un gestore quando l'utente cambia la lingua dell'interfaccia.
- Abilitata la gestione dell'intestazione HTTP (), che consente ai siti di vietare l'inserimento di risorse (ad esempio, immagini e script) caricati da altri domini (cross-origin e cross-site). L'intestazione può assumere due valori: «same-origin» (consente solo richieste di risorse con la stessa schema, nome host e numero di porta) e «same-site» (consente solo richieste dallo stesso sito).
Cross-Origin-Resource-Policy: same-site
- Intestazione HTTP attivata per impostazione predefinita , che consente di gestire il comportamento delle API e l'attivazione di determinate funzionalità (ad esempio, è possibile disattivare l'accesso all'API Geolocation, alla fotocamera, al microfono, la modalità schermo intero, la riproduzione automatica, encrypted-media, animazioni, Payment API, modalità di lavoro sincrono di XMLHttpRequest, ecc.). Per i blocchi iframe è stato proposto separatamente l'attributo ««, che può essere utilizzato nel codice della pagina per assegnare diritti a determinati blocchi iframe.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: microphone ‘none’; geolocation ‘none’
Nel caso in cui il sito consenta tramite l'attributo «allow» l'accesso a una risorsa per un determinato iframe e riceva una richiesta dall'iframe per ottenere i permessi per accedere a tale risorsa, il browser ora visualizza un dialogo di concessione dei permessi nel contesto della pagina principale e delega i diritti confermati dall'utente all'iframe (anziché una conferma separata per l'iframe e la pagina principale). Tuttavia, se la pagina principale non ha i permessi per la risorsa richiesta tramite l'attributo allow, l'accesso per l'iframe alla risorsa viene immediatamente , senza visualizzare un dialogo all'utente.
- È attivato di default il supporto per la proprietà CSS ‘‘, che determina la posizione della sottolineatura del testo (ad esempio, con la visualizzazione verticale del testo, si può organizzare la sottolineatura a sinistra o a destra, e in quella orizzontale non solo in basso, ma anche in alto). Inoltre, nei controlli per la sottolineatura delle proprietà CSS e è stato aggiunto il supporto per l'uso di valori in percentuale.
- Nella proprietà CSS , che definisce lo stile della linea attorno agli elementi, è ora consentito di default l'uso del valore «auto» (precedentemente era a causa di problemi in GNOME).
- Nel debugger JavaScript è possibile fare il debug di Web Worker annidati, la cui esecuzione può essere interrotta e eseguita passo dopo passo utilizzando punti di interruzione.
- Nell'interfaccia per l'ispezione delle pagine web sono visualizzati gli avvisi per le proprietà CSS che dipendono dagli elementi posizionati z-index, top, left, bottom e right.
- Per Windows e macOS è stata implementata la possibilità di importare profili dal browser Microsoft Edge basato sul motore Chromium.
Oltre alle novità e alla correzione di errori, in Firefox 74 sono state risolte , di cui 10 (raccolte sotto e ) contrassegnate come potenzialmente in grado di consentire l'esecuzione di codice da parte di un attaccante quando si aprono pagine appositamente create. Ricordiamo che i problemi di memoria, come i buffer overflow e l'accesso a aree di memoria già liberate, sono da tempo contrassegnati come pericolosi, ma non critici.
Fonte: opennet.ru
