Uma atualização corretiva do Firefox 101.0.1 está disponível, notável pelo reforço da isolação sandbox na plataforma Windows. A nova versão inclui por padrão o bloqueio de acesso à API Win32k (componentes Win32 GUI que operam no nível do núcleo) a partir de processos isolados de processamento de conteúdo. A alteração foi feita antes da competição Pwn2Own 2022, que ocorrerá de 18 a 20 de maio. Os participantes do Pwn2Own demonstrarão técnicas funcionais de exploração de vulnerabilidades anteriormente desconhecidas e, se bem-sucedidos, receberão recompensas substanciais. Por exemplo, o valor do prêmio por contornar a isolação sandbox no Firefox para Windows é de 100 mil dólares.
Entre as outras mudanças, mencionam-se a correção do problema com a exibição de legendas no modo 'imagem em imagem' ao usar o Netflix e a eliminação de uma falha que tornava alguns comandos indisponíveis na janela do modo 'imagem em imagem'.
Além disso, foi relatada a adição de novos requisitos nas regras do repositório de certificados raiz da Mozilla. As mudanças, que visam resolver alguns problemas há muito observados com a revogação de certificados de servidores TLS, entrarão em vigor em 1º de junho.
A primeira mudança diz respeito à inclusão de códigos com motivos para a revogação de certificados (RFC 5280), que os centros de certificação agora deverão especificar em certos casos de revogação de certificados. Anteriormente, alguns centros de certificação não forneciam esses dados ou os forneciam de forma formal, dificultando o rastreamento das razões para a revogação dos certificados. servidoresAgora, o preenchimento correto dos códigos de motivo nas listas de certificados revogados (CRL) será obrigatório e permitirá separar as situações relacionadas à comprometimento de chaves e a violação das regras de operação com certificados de casos que não envolvem segurança, como alteração de informações da organização, venda de domínio ou substituição antecipada do certificado.
A segunda alteração obriga as autoridades certificadoras a enviar à base de certificados raiz e intermediários (CCADB, Common CA Certificate Database) URLs completas das listas de certificados revogados (CRL). Essa mudança permitirá uma contabilização completa de todos os certificados TLS revogados, além de carregar antecipadamente no Firefox dados mais completos sobre os certificados revogados, que podem ser usados para verificação sem enviar uma solicitação aos servidores das autoridades certificadoras durante o processo de estabelecimento da conexão TLS.
Fonte: opennet.ru
