Foi lançado o navegador web , além de Firefox 68.6 para a plataforma Android. Além disso, uma atualização foi criada com suporte a longo prazo . Em breve, a versão a ramificação do Firefox 75, cujo lançamento está previsto para 7 de abril (projeto de 4 a 5 semanas) ). Para a ramificação beta do Firefox 75 formação para Linux no formato Flatpak.
:
- Nas compilações para Linux, é utilizado um mecanismo de isolamento , visando bloquear a exploração de vulnerabilidades em bibliotecas de funções de terceiros. Neste estágio, o isolamento está habilitado apenas para a biblioteca , responsável pela renderização de fontes. O RLBox compila código C/C++ de uma biblioteca isolada em código intermediário de baixo nível WebAssembly, que é então encapsulado como um módulo WebAssembly, cujas permissões são definidas apenas para esse módulo. O módulo compilado funciona em uma área de memória separada e não tem acesso ao restante do espaço de endereçamento. Em caso de exploração de uma vulnerabilidade na biblioteca, o atacante será limitado e não conseguirá acessar áreas de memória do processo principal ou transferir o controle para fora do ambiente isolado.
- Modo DNS sobre HTTPS (DoH, DNS over HTTPS) para usuários nos Estados Unidos. O provedor de DNS padrão oferecido é o CloudFlare (mozilla.cloudflare-dns.com em da Roskomnadzor), e como opção, o NextDNS está disponível. Para mudar de provedor ou ativar o DoH em países diferentes dos EUA, nas configurações da conexão de rede. Para mais informações sobre o DoH no Firefox, consulte um .
- suporte aos protocolos TLS 1.0 e TLS 1.1. Para acessar sites por meio de um canal seguro, o servidor deve oferecer suporte a pelo menos TLS 1.2. Segundo o Google, atualmente cerca de 0,5% dos carregamentos de páginas da web ainda são realizados com versões obsoletas do TLS. A desativação foi feita de acordo com IETF (Internet Engineering Task Force). A razão pela qual o suporte a TLS 1.0/1.1 foi descontinuado é a falta de suporte a criptografias modernas (como ECDHE e AEAD) e a exigência de suporte a criptografias antigas, cuja confiabilidade na atual era da computação é questionável (por exemplo, requer suporte a TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, com MD5 e SHA-1 sendo usados para verificação de integridade e autenticação). Ao tentar utilizar TLS 1.0 e TLS 1.1 a partir do Firefox 74, uma mensagem de erro será exibida. Para reverter a capacidade de trabalhar com versões legadas do TLS, use a configuração security.tls.version.enable-deprecated = true ou o botão na página de erro que aparece ao acessar um site com o protocolo antigo.
- Na nota de lançamento, é recomendado um complemento , que bloqueia automaticamente os widgets do Facebook hospedados em sites de terceiros, usados para autenticação, envio de comentários e curtidas. Os parâmetros de identificação do Facebook são isolados em um contêiner separado, dificultando a identificação do usuário com os sites visitados. A possibilidade de interagir com o site principal do Facebook é mantida, mas sua interação com outros sites é isolada.
Para um isolamento mais flexível de sites arbitrários, um complemento é sugerido com a implementação do conceito de contêineres contextuais. Os contêineres oferecem a possibilidade de isolar diferentes tipos de conteúdo sem criar perfis separados, permitindo que a informação de diferentes grupos de páginas seja mantida separada. Por exemplo, é possível criar áreas distintas e isoladas para comunicação pessoal, trabalho, compras e operações bancárias, ou organizar o uso simultâneo de diferentes contas de usuário em um único site. Cada contêiner utiliza repositórios separados para Cookies, Local Storage API, indexedDB, cache e conteúdo OriginAttributes.
- Foi adicionada a configuração "browser.tabs.allowTabDetach" no about:config, que permite proibir a desconexão de abas em novas janelas. A desconexão acidental de uma aba é uma das falhas mais irritantes do Firefox, cuja solução se arrasta há 9 anos. O navegador permite arrastar a aba com o mouse para uma nova janela, mas em determinadas circunstâncias, a aba se desconecta em uma janela separada durante o trabalho, ao mover o mouse descuidadamente enquanto clica na aba.
- de extensões instaladas de forma não convencional e não vinculadas a perfis de usuário. A alteração diz respeito apenas à instalação de extensões em diretórios compartilhados (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ ou ~/.mozilla/extensions/), que são processados por todas as instâncias do Firefox no sistema (sem vínculo com o usuário). Esse método é geralmente utilizado para pré-instalar extensões em distribuições, para inserção não solicitada junto com aplicativos de terceiros, para integração de extensões maliciosas ou para fornecimento separado de uma extensão com seu próprio instalador. No Firefox 73, as extensões anteriormente instaladas forçadamente foram automaticamente transferidas do diretório comum para os perfis individuais dos usuários e agora podem ser gerenciadas pelo gerenciador de extensões padrão.
- Na extensão do sistema Lockwise incluída no navegador, que oferece a interface "about:logins" para gerenciar senhas salvas, surgiu a opção de ordenação em ordem inversa (de Z a A).
- No WebRTC, foi aumentada a proteção contra vazamentos de informações sobre o IP interno durante chamadas de voz e vídeo por meio do mecanismo "", que oculta o endereço local por um identificador aleatório gerado dinamicamente, definido via Multicast DNS.
- A localização do botão de modo de visualização "imagem dentro da imagem" foi alterada, que bloqueava o botão para avançar para a próxima imagem na interface de upload em massa de fotos do Instagram.
- Em JavaScript O operador "?.", projetado para verificar toda a cadeia de propriedades ou chamadas de uma só vez. Por exemplo, ao especificar "db?.user?.name?.length", agora é possível acessar o valor "db.user.name.length" sem verificações preliminares. Se algum elemento for tratado como null ou undefined, será retornado o valor "undefined".
- Suporte em sites e complementos para o método Object.toSource() e a função global uneval().
- Um novo evento foi adicionado e a propriedade associada a ele , que permite chamar um manipulador quando o usuário altera o idioma da interface.
- O processamento do cabeçalho HTTP foi ativado (), que permite que sites proíbam a inserção de recursos (por exemplo, imagens e scripts) carregados de outros domínios (cross-origin e cross-site). O cabeçalho pode assumir dois valores: "same-origin" (permite apenas solicitações de recursos com o mesmo esquema, nome do host e número da porta) e "same-site" (permite apenas solicitações do mesmo site).
Cross-Origin-Resource-Policy: same-site
- O cabeçalho HTTP foi ativado por padrão , que gerencia o comportamento da API e a habilitação de determinados recursos (por exemplo, pode-se desativar o acesso à Geolocation API, à câmera, ao microfone, ao modo de tela cheia, à reprodução automática, encrypted-media, animações, Payment API, modo síncrono do XMLHttpRequest etc.). Para blocos iframe, foi proposta separadamente o atributo "", que pode ser usado no código da página para atribuir permissões a determinados blocos iframe.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: microphone ‘none’; geolocation ‘none’
Caso o site permita, através do atributo "allow", o uso de um recurso para um iframe específico e um pedido do iframe para obter permissões para trabalhar com esse recurso seja feito, o navegador agora exibe um diálogo de autorização no contexto da página principal e delega os direitos confirmados pelo usuário ao iframe (em vez de uma confirmação separada para o iframe e para a página principal). No entanto, se a página principal não tiver permissões para o recurso solicitado através do atributo allow, o acesso do iframe ao recurso é negado , sem exibir diálogo ao usuário.
- O suporte à propriedade CSS ‘foi ativado por padrão.‘, que define a posição do sublinhado do texto (por exemplo, ao exibir texto verticalmente, é possível organizar o sublinhado à esquerda ou à direita, e ao exibir horizontalmente, não apenas na parte inferior, mas também na parte superior). Além disso, nas propriedades CSS de estilo de sublinhado, foi adicionado suporte para usar valores em porcentagens. e adicionou suporte para o uso de valores em porcentagens.
- Na propriedade CSS , que define o estilo da linha ao redor dos elementos, por padrão é permitido usar o valor "auto" (anteriormente era devido a problemas no GNOME).
- No depurador JavaScript a capacidade de depurar Web Workers aninhados, cuja execução pode ser pausada e depurada passo a passo usando pontos de interrupção.
- Na interface para inspecionar páginas web, há exibição de avisos para propriedades CSS que dependem de elementos posicionados z-index, top, left, bottom e right.
- Para Windows e macOS, foi implementada a possibilidade de importar perfis do navegador Microsoft Edge baseado no mecanismo Chromium.
Além das novidades e correções de erros, o Firefox 74 resolveu , dos quais 10 (coletados sob e ) estão marcadas como potencialmente capazes de levar à execução de código malicioso ao abrir páginas especialmente formatadas. Lembramos que problemas de memória, como estouros de buffer e acessos a áreas de memória já liberadas, foram recentemente marcados como perigosos, mas não críticos.
Fonte: opennet.ru
