Wydanie Firefox 93

Wydano przeglądarkę internetową Firefox 93. Ponadto utworzono aktualizacje wersji długoterminowego wsparcia — 78.15.0 i 91.2.0. Do etapu testów beta przeszła wersja Firefox 94, której premiera jest zaplanowana na 2 listopada.

Główne nowości:

• Domyślnie włączono wsparcie dla formatu obrazów AVIF (AV1 Image Format), który wykorzystuje technologie kompresji wewnętrznej z formatu kodowania wideo AV1. Obsługiwane są przestrzenie kolorów z pełnym i ograniczonym zakresem kolorów, a także operacje transformacji (obrót i lustro). Animacja na razie nie jest wspierana. Aby dostosować zgodność ze specyfikacją w about:config, zaproponowano parametr „image.avif.compliance_strictness”. Domyślna wartość nagłówka HTTP ACCEPT została zmieniona na „image/avif,image/webp,*/*”.
• Silnik WebRender, napisany w języku Rust, stał się obowiązkowy, co pozwala na znaczące zwiększenie prędkości renderowania i zmniejszenie obciążenia CPU poprzez przeniesienie operacji renderowania treści strony na GPU, realizowanych przez wykonywane w GPU shadery. Dla systemów z starymi kartami graficznymi lub problematycznymi sterownikami graficznymi w WebRender zastosowano tryb programowej rastrowizacji (gfx.webrender.software=true). Wsparcie opcji wyłączenia WebRender (gfx.webrender.force-legacy-layers i MOZ_WEBRENDER=0) zostało zakończone.
• Ulepszono wsparcie dla protokołu Wayland. Dodano warstwę rozwiązującą problemy z buforem wymiany w środowiskach opartych na protokole Wayland. W skład wchodzą również zmiany, które eliminują migotanie podczas przesuńania okna do krawędzi ekranu w konfiguracjach wielomonitorowych.
• Wbudowany przeglądarki PDF wprowadza możliwość otwierania dokumentów z interaktywnymi formularzami XFA, powszechnie używanymi w elektronicznych formularzach różnych banków i instytucji rządowych.
• Włączona ochrona przed przesyłaniem plików przez HTTP bez szyfrowania, jednak inicjowanych ze stron otwieranych przez HTTPS. Takie przesyłania nie są chronione przed przejęciem w wyniku kontroli nad ruchem w trakcie transportu, ale ponieważ są one realizowane przez strony otwierane przez HTTPS, użytkownik może odnieść fałszywe wrażenie o ich bezpieczeństwie. Przy próbie przesyłania takich danych użytkownikowi zostanie wyświetlone ostrzeżenie, które umożliwia anulowanie blokady, jeśli zajdzie taka potrzeba. Ponadto, teraz zabronione jest i będzie cicho blokowane przesyłanie plików z izolowanych iframe, w których nie został wyraźnie określony atrybut allow-downloads.
• Ulepszona realizacja mechanizmu SmartBlock, mającego na celu rozwiązanie problemów na stronach wynikających z blokowania zewnętrznych skryptów w trybie prywatnego przeglądania lub przy włączeniu wzmocnionej blokady treści niepożądanej (strict). SmartBlock automatycznie zastępuje stosowane do śledzenia skrypty zamiennikami, które zapewniają prawidłowe ładowanie strony. Zamienniki są przygotowane dla niektórych popularnych skryptów śledzących użytkowników, umieszczonych na liście Disconnect. W nowej wersji włączono adaptacyjne blokowanie skryptów Google Analytics, skryptów sieci reklamowych Google oraz widgetów usług Optimizely, Criteo i Amazon TAM.
• W trybach prywatnego przeglądania i wzmocnionej blokady treści (strict) wprowadzono dodatkową ochronę nagłówka HTTP „Referer”. W tych trybach stronom teraz zabrania się przyjmowania polityk „no-referrer-when-downgrade”, „origin-when-cross-origin” i „unsafe-url” przez nagłówek Referrer-Policy, co pozwalałoby na ominięcie domyślnych ustawień i zwrócenie pełnego adresu URL w nagłówku „Referer” dla stron trzecich. Przypominamy, że w Firefox 87 w celu zablokowania potencjalnych wycieków danych osobowych domyślnie aktywowano politykę „strict-origin-when-cross-origin”, która polega na usuwaniu ścieżek i parametrów z „Referer” podczas wysyłania żądania do innych hostów przy użyciu HTTPS, przekazywaniu pustego „Referer” przy przejściu z HTTPS na HTTP oraz przekazywaniu pełnego „Referer” dla wewnętrznych przejść w obrębie jednej witryny. Jednak skuteczność tego zmienionego zachowania budziła wątpliwości, ponieważ strony mogły, manipulując Referrer-Policy, przywrócić stare zachowanie.
• Na platformie Windows wprowadzono wsparcie dla automatycznego zwalniania zakładek z pamięci, gdy poziom wolnej pamięci w systemie osiągnie krytycznie niski poziom. W pierwszej kolejności zwalniane są zakładki, które zużywają najwięcej pamięci i do których użytkownik od dawna nie miał dostępu. Po przełączeniu na zwolnioną zakładkę jej zawartość jest automatycznie ładowana ponownie. Na systemie Linux tę funkcjonalność obiecano dodać w jednej z kolejnych wersji.
• Styl panelu listy pobierania został dostosowany do ogólnego stylu wizualnego Firefox.
• W trybie kompaktowym zmniejszono odstępy między elementami głównego menu, menu overflow, zakładkami i historią odwiedzin.
• Do algorytmów, które można wykorzystać do organizacji uwierzytelniania (HTTP Authentication), dodano SHA-256 (wcześniej wspierano tylko MD5).
• Domyślnie wyłączono szyfry TLS, które korzystają z algorytmu 3DES. Na przykład zestaw szyfrów TLS_RSA_WITH_3DES_EDE_CBC_SHA jest podatny na atak Sweet32. Przywrócenie wsparcia dla 3DES jest możliwe po wyraźnym zezwoleniu w ustawieniach starszych wersji TLS.
• Na platformie macOS rozwiązano problem z utratą sesji w przypadku uruchomienia Firefox z zamontowanego pliku „.dmg”.
• Wprowadzono interfejs użytkownika do wizualnego wprowadzania daty i czasu dla elementu web-form .
• Dla elementów z atrybutem aria-label lub aria-labelledby wprowadzono rolę meter (role="meter"), umożliwiającą realizację wskaźników wartości liczbowych zmieniających się w określonym zakresie (na przykład wskaźników stanu naładowania baterii).
• Do właściwości CSS font-synthesis dodano wsparcie dla słowa kluczowego „small-caps”.
• Wprowadzono metodę Intl.supportedValuesOf(), zwracającą tablicę wspieranych kalendarzy, walut, systemów liczbowych i jednostek miary.
• Dla klas dodano możliwość użycia statycznych bloków inicjalizacji do grupowania kodu, który jest wykonywany tylko raz podczas przetwarzania klasy: class C { // Blok zostanie uruchomiony podczas przetwarzania samej klasy static { console.log("C’s static block"); }}
• Dodano wsparcie dla metody HTMLElement.attachInternals, aby uzyskać dostęp do dodatkowych metod zarządzania formularzem.
• Do metody ElementInternals dodano atrybut shadowRoot, umożliwiający własnym elementom dostęp do własnego oddzielnego korzenia w Shadow DOM, niezależnie od stanu.
• Metoda createImageBitmap() zyskała obsługę właściwości imageOrientation i premultiplyAlpha.
• Dodano globalną funkcję reportError(), umożliwiającą skryptom wyświetlanie błędów w konsoli, symulując wystąpienie nieprzechwyconego wyjątku.
• Ulepszenia w wersji na platformę Android:
  • Podczas uruchamiania na tabletach w panelu dodano przyciski „do przodu”, „do tyłu” i „odśwież stronę”.
  • Włączono domyślnie automatyczne wypełnianie loginów i haseł w formularzach webowych.
  • Dodano możliwość używania Firefoksa jako menedżera haseł do automatycznego wypełniania loginów i haseł w innych aplikacjach (włącza się przez „Ustawienia” > „Loginy i hasła” > „Autouzupełnianie w innych aplikacjach”).
  • Dodano stronę „Ustawienia” > „Loginy i hasła” > „Zapisane loginy” > „Dodaj login” do ręcznego dodawania danych logowania do menedżera haseł.
  • Dodano stronę „Ustawienia” > „Zbieranie danych” > „Badania i wyłączanie”, która umożliwia rezygnację z udziału w testowaniu nowych funkcji.

Oprócz nowości i poprawek błędów w Firefoksie 93 naprawiono 13 luk, z czego 10 oznaczono jako krytyczne. 9 luk (zebranych pod CVE-2021-38500, CVE-2021-38501 i CVE-2021-38499) wynika z problemów z pamięcią, takich jak przepełnienia buforów i dostęp do już zwolnionych obszarów pamięci. Potencjalnie problemy te mogą prowadzić do wykonania kodu przez atakującego po otwarciu specjalnie przygotowanych stron.

W wersji beta Firefoksa 94 wprowadzono nową stronę serwisową „about:unloads”, na której użytkownik może wymusić wyrzucenie określonych kart, aby zmniejszyć zużycie pamięci, nie zamykając ich (zawartość zostanie ponownie załadowana po przejściu do karty).

Źródło: opennet.ru