Toleo la matengenezo la Firefox 101.0.1 linapatikana, linalojulikana kwa kuimarisha kutengwa kwa kisanduku cha mchanga kwenye jukwaa la Windows. Toleo jipya huwezesha, kwa chaguo-msingi, kuzuia ufikiaji wa Win32k API (vipengee vya Win32 GUI vinavyoendesha kwenye kiwango cha kernel) kutoka kwa michakato ya pekee ya maudhui. Mabadiliko hayo yalifanywa kabla ya shindano la Pwn2Own 2022, ambalo litafanyika Mei 18-20. Washiriki wa Pwn2Own wataonyesha mbinu za kufanya kazi za kutumia udhaifu usiojulikana hapo awali na, ikifaulu, watapata zawadi za kuvutia. Kwa mfano, malipo ya kutengwa kwa sanduku la mchanga kwenye Firefox kwenye jukwaa la Windows ni $ 100 elfu.
Mabadiliko mengine ni pamoja na kurekebisha suala kwa manukuu yanayoonyeshwa katika hali ya picha-ndani-picha unapotumia Netflix, na kurekebisha suala ambapo baadhi ya amri hazikupatikana kwenye kidirisha cha picha-ndani ya picha.
Zaidi ya hayo, inaripotiwa kuwa mahitaji mapya yameongezwa kwa sheria za uhifadhi wa cheti cha mizizi cha Mozilla. Mabadiliko hayo, ambayo yanalenga kushughulikia baadhi ya hitilafu za kubatilisha cheti cha seva ya TLS ambazo zimeonekana kwa muda mrefu, zitaanza kutumika tarehe 1 Juni.
Mabadiliko ya kwanza yanahusu uhasibu wa misimbo yenye sababu za kubatilisha cheti (RFC 5280), ambayo mamlaka ya uthibitisho sasa, katika baadhi ya matukio, itahitajika kuonyesha katika tukio la ubatilishaji wa cheti. Hapo awali, baadhi ya mamlaka za uthibitishaji hazikusambaza data kama hiyo au kuzikabidhi rasmi, jambo ambalo lilifanya iwe vigumu kufuatilia sababu za kubatilisha vyeti vya seva. Sasa, ukamilishaji sahihi wa misimbo ya sababu katika orodha za kubatilisha cheti (CRL) utakuwa wa lazima na utaturuhusu kutenganisha hali zinazohusiana na maelewano ya funguo na ukiukaji wa sheria za kufanya kazi na cheti kutoka kwa kesi zisizo za usalama, kama vile kubadilisha habari kuhusu shirika, kuuza kikoa, au kubadilisha cheti kabla ya ratiba.
Mabadiliko ya pili yanalazimisha mamlaka za uthibitishaji kusambaza URL kamili za orodha za ubatilishaji vyeti (CRL) kwenye hifadhidata ya cheti cha mizizi na cha kati (CCDB, Hifadhidata ya Kawaida ya Cheti cha CA). Mabadiliko hayo yatawezesha kuzingatia kikamilifu vyeti vyote vya TLS vilivyobatilishwa, na pia kupakia mapema data kamili zaidi kuhusu vyeti vilivyobatilishwa kwenye Firefox, ambayo inaweza kutumika kwa uthibitishaji bila kutuma ombi kwa seva za mamlaka ya uthibitishaji wakati wa TLS. mchakato wa kuanzisha uhusiano.
Chanzo: opennet.ru