Rilascio di Firefox 93

È stata rilasciata la versione 93 del browser web Firefox. Inoltre, sono stati creati aggiornamenti per le versioni con supporto a lungo termine — 78.15.0 e 91.2.0. La versione Firefox 94 è entrata in fase di beta testing, con rilascio previsto per il 2 novembre.

Novità principali:

• È stata attivata di default la supporto per il formato immagine AVIF (AV1 Image Format), che utilizza tecnologie di compressione intra-frame dal formato di codifica video AV1. Sono supportati spazi colore con gamma completa e limitata, così come le operazioni di trasformazione (rotazione e riflessione). L'animazione non è ancora supportata. Per configurare la conformità alla specifica, è stato proposto il parametro «image.avif.compliance_strictness» in about:config. Il valore dell'intestazione HTTP ACCEPT è stato cambiato di default in «image/avif,image/webp,*/*».
• È stato reso obbligatorio il motore WebRender, sviluppato in Rust, che consente un significativo aumento della velocità di rendering e una riduzione del carico sulla CPU trasferendo le operazioni di rendering del contenuto della pagina sulla GPU, realizzate tramite shader eseguiti sulla GPU. Per i sistemi con schede grafiche obsolete o driver grafici problematici, WebRender utilizza una modalità di rasterizzazione software (gfx.webrender.software=true). Il supporto per l'opzione di disattivazione di WebRender (gfx.webrender.force-legacy-layers e MOZ_WEBRENDER=0) è stato interrotto.
• Migliorato il supporto per il protocollo Wayland. È stata aggiunta un'interfaccia che risolve i problemi con il copia e incolla negli ambienti basati su Wayland. Sono state incluse anche modifiche per eliminare il flickering quando si sposta una finestra verso il bordo dello schermo in configurazioni a più monitor.
• Nel visualizzatore PDF integrato è stata implementata la possibilità di aprire documenti con moduli XFA interattivi, solitamente utilizzati in moduli elettronici di vari banche e enti governativi.
• È attivata la protezione contro il download di file trasmessi via HTTP senza crittografia, ma avviati da pagine aperte tramite HTTPS. Tali download non sono protetti da sostituzioni a causa del controllo del traffico in transito, ma poiché avvengono tramite pagine aperte in HTTPS, l'utente potrebbe avere una falsa impressione della loro sicurezza. Quando si tenta di scaricare tali dati, verrà mostrato un avviso che permette di annullare il blocco, se desiderato. Inoltre, ora è vietato e verrà silenziosamente bloccato il download di file da iframe isolati, nei quali non è stato esplicitamente indicato l'attributo allow-downloads.
• Migliorata l'implementazione del meccanismo SmartBlock, progettato per risolvere i problemi sui siti web causati dal blocco di script esterni in modalità di navigazione privati o attivando il blocco rigoroso dei contenuti indesiderati. SmartBlock sostituisce automaticamente gli script di tracciamento con delle soluzioni temporanee che garantiscono il corretto caricamento del sito. Le soluzioni temporanee sono state preparate per alcuni degli script di tracciamento più popolari, inclusi nella lista di Disconnect. Nella nuova versione è inclusa la blocco adattivo degli script di Google Analytics, degli script delle reti pubblicitarie di Google e dei widget dei servizi Optimizely, Criteo e Amazon TAM.
• Nei modi di navigazione in privato e nel blocco avanzato dei contenuti indesiderati (strict) è attivata un'ulteriore protezione dell'intestazione HTTP "Referer". In questi modi, ai siti è ora vietato l'uso delle politiche "no-referrer-when-downgrade", "origin-when-cross-origin" e "unsafe-url" attraverso l'intestazione Referrer-Policy, che permettono di bypassare le impostazioni predefinite e restituire l'URL completo nel campo "Referer" ai siti esterni. Ricordiamo che in Firefox 87, con l'obiettivo di bloccare potenziali perdite di dati personali, è stata attivata per impostazione predefinita la politica "strict-origin-when-cross-origin", che prevede la rimozione di percorsi e parametri dal "Referer" quando si invia una richiesta a host diversi usando HTTPS, la trasmissione di un "Referer" vuoto quando si passa da HTTPS a HTTP, e la trasmissione del "Referer" completo per i passaggi interni all'interno dello stesso sito. Tuttavia, l'efficacia di questa modifica era in discussione, poiché i siti, tramite manipolazioni della Referrer-Policy, potevano ripristinare il comportamento precedente.
• Sulla piattaforma Windows è implementato il supporto per il caricamento automatico delle schede dalla memoria quando il livello di memoria libera nel sistema raggiunge valori critici. In primo luogo, vengono scaricate le schede che consumano più memoria e a cui l'utente non ha acceduto di recente. Quando si passa a una scheda scaricata, il suo contenuto viene automaticamente ricaricato.
• Il design del pannello con l'elenco dei download è stato allineato allo stile visivo generale di Firefox.
• In modalità compatta, sono stati ridotti gli spazi tra gli elementi del menu principale, del menu overflow, dei segnalibri e della cronologia delle visite.
• Tra gli algoritmi utilizzabili per l'organizzazione dell'autenticazione (HTTP Authentication) è stato aggiunto SHA-256 (in precedenza era supportato solo MD5).
• I cifrari TLS che utilizzano l'algoritmo 3DES sono disabilitati per impostazione predefinita. Ad esempio, il set di cifrari TLS_RSA_WITH_3DES_EDE_CBC_SHA è vulnerabile all'attacco Sweet32. Il ripristino del supporto per 3DES è possibile con un'esplicita autorizzazione nelle impostazioni delle versioni obsolete di TLS.
• Sulla piattaforma macOS è stato risolto il problema della perdita di sessioni quando si avvia Firefox da un file montato «.dmg».
• Implementato un'interfaccia utente per l'inserimento visivo di data e ora per l'elemento web-form <input type=»datetime-local»>.
• Per gli elementi con l'attributo aria-label o aria-labelledby è stata implementata la funzione role='meter', consentendo la realizzazione di indicatori di valori numerici che variano in un determinato intervallo (ad esempio, indicatori di carica della batteria).
• Nella proprietà CSS font-synthesis è stata aggiunta la compatibilità con la parola chiave «small-caps».
• Implementato il metodo Intl.supportedValuesOf(), che restituisce un array di calendari, valute, sistemi numerici e unità di misura supportati.
• Per le classi è stata fornita la possibilità di utilizzare blocchi di inizializzazione statici per raggruppare il codice eseguito una sola volta durante l'elaborazione della classe: class C { // Il blocco verrà eseguito durante l'elaborazione della classe stessa static { console.log(«Blocco statico di C»); } }
• Aggiunta la compatibilità con la chiamata HTMLElement.attachInternals per accedere a metodi aggiuntivi per la gestione del modulo.
• Nel metodo ElementInternals è stato aggiunto l'attributo shadowRoot, che consente agli elementi personalizzati di accedere alla propria radice separata nel Shadow DOM, indipendentemente dallo stato.
• Il metodo createImageBitmap() ora supporta le proprietà imageOrientation e premultiplyAlpha.
• È stata aggiunta la funzione globale reportError(), che consente agli script di registrare errori nella console, emulando il verificarsi di un'eccezione non gestita.
• Miglioramenti nella versione per la piattaforma Android:
  • All'avvio su tablet sono stati aggiunti pulsanti 'avanti', 'indietro' e 'riavvia pagina' nella barra.
  • Il riempimento automatico di nomi utente e password nelle web form è abilitato per impostazione predefinita.
  • È possibile utilizzare Firefox come gestore delle password per riempire nomi utente e password in altre applicazioni (attivabile tramite 'Settings' > 'Logins and passwords' > 'Autofill in other apps').
  • È stata aggiunta la pagina 'Settings' > 'Logins and passwords' > 'Saved Logins' > 'Add Login' per l'aggiunta manuale delle credenziali nel gestore delle password.
  • È stata aggiunta la pagina 'Settings' > 'Data collection' > 'Studies and switch off', che consente di rifiutare la partecipazione a test di funzionalità sperimentali.

Oltre alle novità e alla correzione di bug, Firefox 93 ha risolto 13 vulnerabilità, di cui 10 etichettate come critiche. 9 vulnerabilità (classificate come CVE-2021-38500, CVE-2021-38501 e CVE-2021-38499) sono causate da problemi di gestione della memoria, come buffer overflow e accesso a zone di memoria già liberate. Questi problemi potrebbero potenzialmente portare all'esecuzione di codice malevolo aprendo pagine appositamente create.

Nella versione beta di Firefox 94 è stata implementata una nuova pagina di servizio 'about:unloads' dove l'utente può forzare il rilascio di determinate schede per ridurre il consumo di memoria senza chiuderle (il contenuto verrà ricaricato quando si torna sulla scheda).

Fonte: opennet.ru