ອັບເດດ Firefox 101.0.1. ການເສີມສ້າງຄວາມຕ້ອງການຂອງ Mozilla ສໍາລັບເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນ

ການປ່ອຍການບໍາລຸງຮັກສາຂອງ Firefox 101.0.1 ແມ່ນມີຢູ່, ເປັນທີ່ສັງເກດສໍາລັບການເພີ່ມຄວາມເຂັ້ມແຂງການໂດດດ່ຽວ sandbox ໃນເວທີ Windows. ສະບັບໃຫມ່ເຮັດໃຫ້, ໂດຍຄ່າເລີ່ມຕົ້ນ, ສະກັດການເຂົ້າເຖິງ Win32k API (ອົງປະກອບ Win32 GUI ແລ່ນຢູ່ໃນລະດັບ kernel) ຈາກຂະບວນການເນື້ອໃນທີ່ໂດດດ່ຽວ. ການປ່ຽນແປງໄດ້ເກີດຂຶ້ນກ່ອນການແຂ່ງຂັນ Pwn2Own 2022, ເຊິ່ງຈະຈັດຂຶ້ນໃນວັນທີ 18-20 ເດືອນພຶດສະພາ. ຜູ້ເຂົ້າຮ່ວມ Pwn2Own ຈະສະແດງໃຫ້ເຫັນເຕັກນິກການເຮັດວຽກສໍາລັບການຂຸດຄົ້ນຊ່ອງຫວ່າງທີ່ບໍ່ຮູ້ມາກ່ອນແລະ, ຖ້າປະສົບຜົນສໍາເລັດ, ຈະໄດ້ຮັບລາງວັນທີ່ຫນ້າປະທັບໃຈ. ຕົວຢ່າງ, ຄ່ານິຍົມສໍາລັບການຂ້າມການໂດດດ່ຽວ sandbox ໃນ Firefox ໃນເວທີ Windows ແມ່ນ $100 ພັນ.

ການປ່ຽນແປງອື່ນໆລວມມີການແກ້ໄຂບັນຫາທີ່ມີຄໍາບັນຍາຍທີ່ສະແດງຢູ່ໃນໂຫມດຮູບພາບໃນຮູບພາບໃນເວລາທີ່ໃຊ້ Netflix, ແລະແກ້ໄຂບັນຫາທີ່ບາງຄໍາສັ່ງບໍ່ມີຢູ່ໃນປ່ອງຢ້ຽມຮູບພາບໃນຮູບພາບ.

ນອກຈາກນັ້ນ, ມັນໄດ້ຖືກລາຍງານວ່າຄວາມຕ້ອງການໃຫມ່ໄດ້ຖືກເພີ່ມເຂົ້າໃນກົດລະບຽບການເກັບຮັກສາໃບຢັ້ງຢືນຮາກຂອງ Mozilla. ການປ່ຽນແປງ, ເຊິ່ງມີຈຸດປະສົງເພື່ອແກ້ໄຂບາງຄວາມລົ້ມເຫຼວຂອງການຖອນໃບຢັ້ງຢືນເຊີບເວີ TLS ທີ່ເຫັນມາດົນນານ, ຈະມີຜົນໃນວັນທີ 1 ມິຖຸນາ.

ການປ່ຽນແປງຄັ້ງທໍາອິດກ່ຽວຂ້ອງກັບການບັນຊີຂອງລະຫັດທີ່ມີເຫດຜົນສໍາລັບການຖອນໃບຢັ້ງຢືນ (RFC 5280), ເຊິ່ງອໍານາດການຢັ້ງຢືນໃນປັດຈຸບັນ, ໃນບາງກໍລະນີ, ຈໍາເປັນຕ້ອງຊີ້ບອກໃນກໍລະນີຂອງການຖອນໃບຢັ້ງຢືນ. ກ່ອນຫນ້ານີ້, ບາງເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນບໍ່ໄດ້ສົ່ງຂໍ້ມູນດັ່ງກ່າວຫຼືມອບຫມາຍຢ່າງເປັນທາງການ, ເຊິ່ງເຮັດໃຫ້ມັນຍາກທີ່ຈະຕິດຕາມເຫດຜົນສໍາລັບການຖອນໃບຢັ້ງຢືນເຊີຟເວີ. ໃນປັດຈຸບັນ, ການສໍາເລັດທີ່ຖືກຕ້ອງຂອງລະຫັດເຫດຜົນໃນບັນຊີລາຍຊື່ການຖອນໃບຢັ້ງຢືນ (CRLs) ຈະກາຍເປັນຂໍ້ບັງຄັບແລະຈະຊ່ວຍໃຫ້ພວກເຮົາແຍກສະຖານະການທີ່ກ່ຽວຂ້ອງກັບການປະນີປະນອມຂອງກະແຈແລະການລະເມີດກົດລະບຽບການເຮັດວຽກກັບໃບຢັ້ງຢືນຈາກກໍລະນີທີ່ບໍ່ປອດໄພ, ເຊັ່ນ: ການປ່ຽນແປງຂໍ້ມູນກ່ຽວກັບການປະນີປະນອມຂອງກະແຈ. ອົງກອນ, ຂາຍໂດເມນ, ຫຼືປ່ຽນໃບຮັບຮອງກ່ອນກຳນົດເວລາ.

ການປ່ຽນແປງທີສອງບັງຄັບໃຫ້ເຈົ້າໜ້າທີ່ການຢັ້ງຢືນສົ່ງ URL ເຕັມຂອງລາຍຊື່ການຖອນໃບຢັ້ງຢືນ (CRLs) ໄປຫາຖານຂໍ້ມູນໃບຮັບຮອງຂັ້ນຕົ້ນ ແລະຂັ້ນກາງ (CCADB, ຖານຂໍ້ມູນໃບຮັບຮອງທົ່ວໄປ CA). ການປ່ຽນແປງດັ່ງກ່າວຈະເຮັດໃຫ້ສາມາດພິຈາລະນາຢ່າງເຕັມສ່ວນໃບຢັ້ງຢືນ TLS ທີ່ຖືກຖອນຄືນ, ເຊັ່ນດຽວກັນກັບການໂຫຼດຂໍ້ມູນຄົບຖ້ວນສົມບູນກ່ຽວກັບໃບຢັ້ງຢືນທີ່ຖືກຖອນເຂົ້າໄປໃນ Firefox, ເຊິ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອກວດສອບໂດຍບໍ່ຕ້ອງສົ່ງຄໍາຮ້ອງຂໍໄປຫາເຄື່ອງແມ່ຂ່າຍຂອງເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນໃນລະຫວ່າງ TLS. ຂະບວນການຕິດຕັ້ງການເຊື່ອມຕໍ່.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru