Wydanie Firefox 109

Wydano przeglądarkę internetową Firefox 109. Dodatkowo utworzono aktualizację gałęzi z długoterminowym wsparciem – 102.7.0. Wkrótce do etapu beta testów przejdzie gałąź Firefox 110, której wydanie planowane jest na 14 lutego.

Główne nowości w Firefox 109:

• Domyślnie włączono wsparcie dla trzeciej wersji manifestu Chrome, który określa możliwości i zasoby dostępne dla dodatków napisanych przy użyciu API WebExtensions. Wsparcie dla drugiej wersji manifestu będzie zachowane w przewidywalnej przyszłości. Ponieważ trzecia wersja manifestu stała się obiektem krytyki i spowoduje problemy z działaniem niektórych dodatków do blokowania niechcianej zawartości oraz zapewniania bezpieczeństwa, firma Mozilla odstąpiła od zapewnienia pełnej zgodności z manifestem w Firefox i zrealizowała niektóre możliwości inaczej. Na przykład, nie zaprzestano wsparcia dla starego trybu blokady API webRequest, którego miejsce w Chrome zajęło nowe deklaratywne API filtrowania treści. Również nieco inaczej zrealizowano wsparcie dla granularnego modelu przydzielania uprawnień, zgodnie z którym dodatek nie może być aktywowany od razu dla wszystkich stron (zlikwidowano uprawnienie „all_urls”). W Firefox ostateczna decyzja dotycząca dostępu jest pozostawiona użytkownikowi, który może selektywnie decydować, któremu dodatku przyznać dostęp do swoich danych na danej stronie. W interfejsie dodano przycisk „Unified Extensions”, dzięki któremu użytkownik może przyznawać i cofać dostęp dodatku do dowolnej strony. Zarządzanie uprawnieniami dotyczy tylko dodatków opartych na trzeciej wersji manifestu; dla dodatków na drugiej wersji manifestu nie wprowadza się granularnego zarządzania dostępem do stron.
  
• Na stronie Firefox View poprawiono wygląd pustych sekcji z ostatnio zamkniętymi kartami i kartami otwartymi na innych urządzeniach.
• Na liście ostatnio zamkniętych kart, wyświetlanej na stronie Firefox View, dodano przyciski do usuwania pojedynczych linków z listy.
• Dodano wyświetlanie w pasku adresu wprowadzonego zapytania wyszukiwania zamiast pokazywania adresu URL wyszukiwarki (tj. klucze są pokazywane w pasku adresu nie tylko podczas wpisywania, ale również po skontaktowaniu się z wyszukiwarką i wyświetleniu wyników wyszukiwania związanych z wprowadzonymi kluczami). Możliwość ta jest na razie domyślnie wyłączona i wymaga ustawienia w about:config opcji „browser.urlbar.showSearchTerms.featureGate”.
• Dialog wyboru daty dla pola z typami „date” i „datetime” został dostosowany do obsługi za pomocą klawiatury, co zapewniło poprawną obsługę czytników ekranu oraz umożliwiło korzystanie ze skrótów klawiszowych do nawigacji po kalendarzu.
• Zakończono eksperyment z wbudowanym dodatkiem Colorways do zmiany wyglądu przeglądarki (do wyboru była kolekcja motywów kolorystycznych dla obszaru treści, paneli i paska przełączania kart). Dostęp do wcześniej zapisanych motywów kolorystycznych można uzyskać na stronie „Dodatki i motywy”.
• W systemach z GTK wprowadzono możliwość jednoczesnego przenoszenia wielu plików w menedżerze plików. Umożliwiono przenoszenie obrazków z jednej karty do drugiej.
• W systemie automatycznego klikania w banery żądające zgody na użycie plików cookie na stronach (cookiebanners.bannerClicking.enabled i cookiebanners.service.mode w about:config) wprowadzono możliwość dodawania stron do listy wyjątków, dla których automatyczne klikanie nie jest stosowane.
• Domyślnie włączono ustawienie network.ssl_tokens_cache_use_only_once, aby wykluczyć ponowne użycie biletów sesyjnych w TLS.
• Włączono ustawienie network.cache.shutdown_purge_in_background_task, które rozwiązuje problem z poprawnym zakończeniem operacji wejścia/wyjścia plików podczas zamykania.
• Dodano element do kontekstowego menu dodatków („Przypnij do paska narzędzi”) w celu przypięcia przycisku dodatku na pasku.
• Zaproponowano możliwość wykorzystania Firefox jako przeglądarki dokumentów wybieranej w systemie poprzez menu kontekstowe „Otwórz za pomocą”.
• Na stronę about:support dodano informacje o częstotliwości odświeżania ekranu.
• Dodano ustawienia ui.font.menu, ui.font.icon, ui.font.caption, ui.font.status-bar, ui.font.message-box itd. w celu przedefiniowania systemowych czcionek.
• Domyślnie włączono obsługę zdarzenia scrollend, generowanego po zakończeniu przewijania przez użytkownika (gdy pozycja przestaje się zmieniać) w obiektach Element i Document.
• Zapewnione sekcjonowanie dostępu przez API Storage podczas przetwarzania treści zewnętrznych, niezależnie od API Storage Access.
• Elementowi range dodano obsługę atrybutu list, w którym przekazywany jest identyfikator elementu z listą zdefiniowanych wartości, proponowanych do wprowadzenia.
• Do właściwości CSS content-visibility, stosowanej do wykluczenia zbędnego renderowania obszarów poza polem widzenia, dodano wartość 'auto', przy której widoczność jest określana przez przeglądarkę na podstawie bliskości elementu do granicy widocznego obszaru.
• W typie CSS , definiującym wartości domyślne kolorów różnych komponentów strony, dodano wsparcie dla wartości Mark, MarkText i ButtonBorder.
• W Web Auth dodano możliwość uwierzytelniania przy użyciu protokołu CTAP2 (Client to Authenticator Protocol) z użyciem tokenów opartych na USB HID. Wsparcie to nie jest jeszcze włączone domyślnie i aktywowane jest parametrem security.webauthn.ctap2 w about:config.
• W narzędziach dla twórców stron internetowych w debuggerze JavaScript dodano nową opcję punktów przerwania, która uruchamia się przy przejściu do obsługi zdarzenia scrollend.
• W protokole zdalnego sterowania przeglądarką WebDriver BiDi dodano wsparcie dla komend 'session.subscribe' i 'session.unsubscribe'.
• W buildach dla platformy Windows włączono użycie sprzętowego mechanizmu zabezpieczeń ACG (Arbitrary Code Guard) w celu blokowania eksploatacji luk w procesach obsługujących odtwarzanie treści multimedialnych.
• Na platformie macOS zmieniono działanie kombinacji klawiszy Ctrl/Cmd + touchpad lub Ctrl/Cmd + kółko myszy, które teraz prowadzą do przewijania (jak w innych przeglądarkach), a nie do powiększania.
• Ulepszenia w wersji na Androida:
  • Podczas oglądania filmów w trybie pełnoekranowym wyłączono wyświetlanie paska adresu podczas przewijania.
  • Dodano przycisk do anulowania zmiany po usunięciu przypiętej strony.
  • Zapewniono aktualizację listy wyszukiwarek po zmianie języka.
  • Usunięto awaryjne zakończenie, które występowało podczas umieszczania dużej porcji danych w schowku lub pasku adresu.
  • Zwiększono wydajność renderowania elementów canvas.
  • Rozwiązano problem z wideokonferencjami, w których można używać tylko kodeka H.264.

W Firefoxie 109 naprawiono 21 lukę bezpieczeństwa, poza nowościami i poprawkami błędów. 15 z tych luk oznaczono jako krytyczne, w tym 13 (uwzględnionych w CVE-2023-23605 i CVE-2023-23606) wynika z problemów z zarządzaniem pamięcią, takich jak przepełnienia buforów i dostęp do już zwolnionych obszarów pamięci. Te problemy mogą pozwolić na wykonanie złośliwego kodu po otwarciu specjalnie spreparowanych stron. Luka CVE-2023-23597 wynika z błędu logicznego w kodzie tworzenia nowych procesów podrzędnych i umożliwia uruchomienie nowego procesu w kontekście file://, co pozwala na odczyt zawartości dowolnych plików. Luka CVE-2023-23598 jest wynikiem błędnej obsługi akcji przeciągania i upuszczania w bibliotece GTK i umożliwia odczyt zawartości dowolnych plików poprzez wywołanie DataTransfer.setData.

Źródło: opennet.ru