Release of Firefox 72

Lanseringen av webbläsaren Firefox 72, samt mobilversionen Firefox 68.4 för Android-plattformen. Dessutom har en uppdatering utvecklats grenen med långsiktig support 68.4.0. Snart kommer grenen Firefox 81 att gå över till status för release, som är planerad till den 22 september. beta-testning ska överföras till Firefox 73, vars release är planerad till den 11 februari (projekt överfördes i 4 veckor utvecklingscykeln).

Huvud nyheter:

• I det standardläge som används för att blockera oönskat innehåll är inkluderad skydd mot användarspårning med hjälp av dolda identifieringsmetoder ("browser fingerprinting"), som utförs genom ytterligare kategorier i Disconnect.me-listan, som inkluderar värdar som har avslöjats för att använda skript för dolda identifieringar. Med dolda identifieringar avses att lagra identifierare i områden som inte är avsedda för permanent lagring av information ("Supercookies"), samt generering av identifierare baserat på indirekta data, såsom skärmupplösning, en lista över stödda MIME-typer, specifika parametrar i rubriker (HTTP/2 och HTTPS), analys av installerade tillägg och typsnitt, tillgänglighet av vissa Web API:er, specifika för grafikkort funktioner ritningar med hjälp av WebGL och Canvas, manipulering med CSS, analys av arbetssätt med musen och tangentbordet.
  
• Aktiveras metoder bekämpa med irriterande begärningar om att ge webbplatsen ytterligare behörigheter (Notification.requestPermission(), PushManager.subscribe() och MediaDevices.getDisplayMedia()). Begärningar om bekräftelse av behörigheter kommer nu inte att avbryta webbläsarens arbete, utan kommer istället att leda till att en indikator visas i adressfältet efter att interaktionen med sidan har registrerats (musknapp eller tangenttryckning). Många webbplatser missbrukar möjligheten att begära behörigheter i webbläsare genom att periodiskt visa begärningar om push-notiser. Analys av telemetri har visat att 97% av dessa begärningar avvisas, inklusive 19% av fallen där användaren omedelbart stänger sidan utan att klicka på knappen för att acceptera eller avvisa.
• Tillagd experimentell stöd för HTTP/3-protokollet (för att aktivera det i about:config måste alternativet "network.http.http3.enabled" aktiveras). Stödet för HTTP/3 i Firefox är baserat på neqo,, en implementation av QUIC-protokollet (HTTP/3) skriven i Rust som klient och server standardiserar användningen av QUIC-protokollet som transport för HTTP/2.
• I enlighet med kraven i den lag som trädde i kraft CCPA (California Consumer Privacy Act) har lagts till möjligheten att radera telemetridata från Mozillas servrar. Raderingen av data görs om man avstår från insamlingen av telemetri i avsnittet "about:preferences#privacy" ("Firefox Data Collection and Use"). När kryssrutan "Allow Firefox to send technical and interaction data to Mozilla" för att styra insamlingen av telemetri avmarkerats, förbinder sig Mozilla att inom 30 dagar radera All data collected before the telemetry transmission failure. Among the data stored on Mozilla servers during telemetry collection is information about the performance and security of Firefox, as well as general parameters such as the number of open tabs and session duration (information about opened websites and search queries is not transmitted). Full details about the data collected can be viewed on the 'about:telemetry' page.
  
• For Linux and macOS, the ability to view videos in Picture-in-Picture mode has been added, allowing you to detach the video into a floating window that remains visible while navigating the browser. To view in this mode, you need to click on the popup tooltip or in the context menu displayed when right-clicking on the video, and select 'Picture in Picture' (in YouTube, which uses its own context menu handler, you should right-click twice or click while holding the Shift key).
  
• When displaying a scrollbar aktiverad the background colors of the current page.
• Borttagen att public key pinning (PKP), which allows using the HTTP header Public-Key-Pins to explicitly specify which certificates from which certificate authorities can be used for a given site. The reason given is the low demand for this feature and the risk of compatibility issues (PKP support avslutades i Chrome) och risken att blockera sin egen webbplats på grund av felaktig nyckelbindning eller förlust av nycklar (till exempel av misstag radera eller kompromettering som resultat av hackning).
• I sammansättningen antogs patchar, allowing in OpenBSD to utilize system calls unveil() och pledge() for additional filesystem and process isolation.
• Support for blocking images from individual domains has been removed. The reason for the removal cited is the lack of demand for the feature among users and the inconvenient interface for blocking.
• In Windows builds, an experimental feature has been implemented to use client certificates from the operating system's shared certificate store (to enable in about:config, you should activate the option security.osclientcerts.autoload).
• Support for CSS Shadow Parts is enabled by default, including the attribute 'part' and the pseudo-element '::part' allowing selective display of specified elements from Shadow DOM.

  <custom-element>
  <p part="»example»">Ett stycke</p>
  </custom-element>

  ... in CSS to select elements against the part attribute:

  custom-element::part(example) {
  border: solid 1px black;
  border-radius: 5px;
  padding: 5px;
  }

• Stöd för specifikationen har lagts till CSS Motion Path, vilket gör det möjligt att definiera rörelsebanan för animationsobjekt med hjälp av CSS utan att använda JavaScript-kod och utan att blockera rit- och inmatningsprocesserna under animationens visning. För animationshantering presenteras CSS-egenskaper
  offset,
  offset-path,
  offset-anchor,
  offset-distance och
  offset-rotate.
• Inaktiverade CSS-transformationsegenskaper som standard scale, rotate och translate, oberoende av egenskapen transform (d.v.s. i CSS kan man nu ange «scale: 2;» istället för «transform: scale(2);»).
• I JavaScript har den logiska operatorn för sammanfogning «??«, som returnerar högeroperandet om vänsteroperandet är NULL eller undefined, och vice versa. Till exempel, «const foo = bar ?? ‘default string'» returnerar strängen om bar är null eller värdet av bar annars, inklusive när bar är 0 och ‘ ‘, till skillnad från operatorn «||».
• API har lagts till FormDataEvent och händelsen FormData, som ger möjligheten att använda händelsehanterare i JavaScript för att lägga till data i ett formulär vid sändning utan behov av att spara data i dolda inmatningselement.
• API Geolocation har uppdaterats för att följa den nya specifikationen, till exempel har Coordinates döpts om till GeolocationCoordinates, Position till GeolocationPosition och
  PositionError till GeolocationPositionError.
• I JavaScript-debugger har lagts till stöd för villkorliga brytpunkter (watchpoint), som aktiveras vid ändring eller läsning av vissa objekt-egenskaper.
  
• Uppstart av JavaScript-dbuggern har snabbats upp under förhållanden med ett stort antal öppna flikar (nu ges prioritet främst till synliga flikar).
• I Responsiv designläge har simuleringen av olika värden för meta viewport implementerats. I inspekteringsläget har simuleringen av värden för «prefers-color-scheme» lagts till.
• I web-konsoler har i fleradig läge för JavaScript-tolkning lagt till stöd för att spara och öppna filer med Ctrl + O och Ctrl + S.
• Tillagd inställning av javascript.options.asyncstack för visuell separation av asynkrona meddelanden i web-konsolen. När inställningen aktiveras kommer fullständig stack av anrop för asynkrona operationer att visas för console.trace() och console.error(), vilket gör det möjligt att förstå schemaläggning av timer, händelser, löften, generatorer och så vidare.
  
• I WebSocket inspektionsläge har analys och visuell framställning av metadata för SignalR-formatet som används i meddelanden från ASP.NET Core implementerats, samt har räknare lagts till som visar den totala storleken på överförd och mottagen data.
• I verktyget för att övervaka nätverksaktivitet i fliken Timings visas separata data om tiden för att sätta i kö för nedladdning, starten av nedladdning och avslutningen av nedladdning för varje resurs.
• Miljön Scratchpad, avsedd för experiment med JavaScript-kod (Scratchpad ersattes av flermarks-läget för webbkonsolen i den senaste versionen).

Förutom nyheterna och buggfixarna i Firefox 72 har 20 sårbarheter11 av dem (sammanställda under CVE-2019-17025 och CVE-2019-17024) märkts som potentiellt kapabla att möjliggöra utförande av skadlig kod vid öppning av särskilt utformade sidor. Vi påminner om att minnesproblem, såsom buffertöverflöden och åtkomst till redan frigjorda minnesområden, nyligen har märkts som farliga, men inte kritiska. Särskild uppmärksamhet bör även ägnas åt problemet CVE-2019-17017 i koden XPCVariant.cpp, som också potentiellt kan leda till kodexekvering.

Källa: opennet.ru