Mozilla Firefox

[Umnik]

Там не всё так радужно. Перейти можно хоть сейчас, но нужно, чтобы сайты это поведение поддерживали. А таких почти нет.

[Friend]

@Umnik получается больше половины сайтов не будут открываться в Firefox 85 из-за этого перехода?

[Umnik]

Нет. Просто не будет использоваться этот механизм безопасности. То есть его включение и не включение сейчас ни на что не влияет.

[Friend]

Релиз Firefox 85

Спойлер

Состоялся релиз web-браузера Firefox 85. Кроме того, сформировано обновление ветки с длительным сроком поддержки 78.7.0. На стадию бета-тестирования перешла ветка Firefox 86, релиз которой намечен на 23 февраля.

Основные новшества:

• Добавлена дополнительная защита от методов отслеживания перемещений пользователя между сайтами, основанных на хранении идентификаторов в областях, не предназначенных для постоянного хранения информации ("Supercookies"). Защита основана на применении сегментирования сети (Network Partitioning), суть которого в добавлении дополнительного признака к ключу, применяемому для извлечения объектов из браузерных кэшей.

  В частности, помимо URL добавлена привязка к первичному домену, с которого открыта основная страница, что ограничивает область охвата кэша для скриптов отслеживания перемещений только текущим сайтом (скрипт из iframe не сможет проверить загружался ли ресурс с другого сайта). Ценой сегментирования является снижение эффективности кэширования, приводящее к незначительному увеличению времени загрузки страницы (максимум на 1.32%, но для 80% сайтов на 0.09-0.75%). Для выключения нового метода защиты в about:config предусмотрена настройка privacy.partition.network_state.

• Упрощён интерфейс для сохранения закладок на сайты и доступа к закладкам. На странице открытия новой вкладки по умолчанию включён показ панели закладок. По умолчанию предлагается сохранять закладки в панель закладок, а не в раздел "Other bookmarks". Кроме того, Firefox теперь запоминает выбранное в прошлый раз местоположение закладок и при попытке сохранения новой закладки предлагает его по умолчанию.
• В менеджере паролей предоставлена возможность удаления разом всех отфильтрованных учётных записей, без необходимости отдельного удаления каждого элемента, показанного в списке. Функция доступна через контекстное меню "...".
• Вместо механизма ESNI (Encrypted Server Name Indication) для шифрования информации о параметрах TLS-сеансов, таких как запрошенное доменное имя, реализована поддержка спецификации ECH (Encrypted Client Hello), которая продолжает развитие ESNI и находится на стадии черновика, претендующего на роль стандарта IETF. Ключевое отличие ECH от ESNI в том, что в ECH вместо отдельного поля шифруется всё сообщение ClientHello, что позволяет блокировать утечки через поля, которые не охватывает ESNI. Для управления включением ECH в about:config предложены настройки "network.dns.echconfig.enabled" и "network.dns.use_https_rr_as_altsvc".
• В Linux по умолчанию активирован движок композитинга WebRender для сеанса пользовательского окружения GNOME, использующего протокол Wayland. В прошлом выпуске поддержка WebRender была активирована для GNOME в окружении X11. Использование WebRender в Linux пока ограничено видеокартами AMD и Intel, так как при работе в системах с проприетарным драйвером NVIDIA и свободным драйвером Noveau наблюдаются нерешённые проблемы. WebRender написан на языке Rust и позволяет добиться существенного увеличения скорости отрисовки и снижения нагрузки на CPU за счёт выноса на сторону GPU операций отрисовки содержимого страницы, которые реализованы через выполняемые в GPU шейдеры. Для принудительного включения в about:config следует активировать настройку "gfx.webrender.enabled" или запустить Firefox с выставленной переменной окружения MOZ_WEBRENDER=1.
• Предоставлена возможность отключения переопределения дополнениями домашней страницы и экрана открытия новой вкладки без отключения всего дополнения. В настройках метода обработки новой вкладки или домашней страницы (about:preferences#home) теперь можно явно выбрать дополнение в качестве обработчика или вернуть обработчики по умолчанию.
• При выводе на печать появилась возможность указания нескольких произвольных диапазонов страниц, разделённых запятой, например, "1-5,10-15".
• Прекращена поддержка плагина Adobe Flash. Сопровождение технологии Flash было официально завершено компанией Adobe 31 декабря 2020 года. Напомним, что возможность запуска плагина Adobe Flash была отключена по умолчанию ещё в Firеfox 69, но сохранялась опция для индивидуального включения Flash для конкретных сайтов. Flash оставался последним NPAPI-плагином, поддержка которого сохранялась в Firefox после перевода API NPAPI в разряд устаревших. Поддержка Silverlight, Java, Unity, Gnome Shell Integration и NPAPI-плагинов с поддержкой мультимедийных кодеков была прекращена в Firefox 52, выпущенном в 2016 году.
  
   
• Добавлен CSS-псевдокласс ":focus-visible", который использует ту же эвристику, что применяется браузером при принятии решения о показе индикатора смены фокуса. Ранее доступный псевдокласс ":focus" не делает различия между сменой фокуса через клавиатуру или мышь. При помощи ":focus-visible" можно организовать показ разных индикаторов фокуса при активации мышью или клавиатурой. Например, можно привязать изменение стиля при наведении фокуса мышью, без клика.

  Для отладки изменения фокуса в интерфейс инспектирования страниц (Page Inspector/Rules View) добавлен переключатель, позволяющий включать стили ":focus-visible" для выбранных элементов в дополнение к псевдоклассам ":hover", ":active", ":focus", ":focus-within" и ":visited".

• В предоставляемом в web-конcоли многострочном режиме редактирования кода появилась кнопка "{}" для форматирования конструкций JavaScript.
• В тег link добавлена поддержка атрибута rel='preload', управляющего упреждающей загрузкой контента (например, <link rel="preload" href="style.css" as="style">). Через preload можно организовать загрузку ресурсов, не дожидаясь когда они будут запрошены, например, можно сразу загрузить определённые файлы CSS, скрипты, видео и картинки. Компания Google продвигает использование тега <link rel="preload"> вместо технологии Server Push.
• В CSS-свойство "touch-action" добавлен параметр "pinch-zoom", позволяющий настроить обработку жеста "масштабирование щипком".
• В версии для Android для дополнений на базе WebExtensions реализована поддержка API browsingData, которое позволяет удалять накопленные в процессе навигации данные, такие как данные форм, cookie, пароли, загрузки, содержимое кэша, история посещений.

Кроме новшеств и исправления ошибок в Firefox 85 устранено 33 уязвимости, из которых 25 помечены как опасные. 23 уязвимости (собраны под CVE-2021-23964 и CVE-2021-23965) вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

Перешедшая на стадию бета-тестирования ветка Firefox 86 примечательна включением по умолчанию поддержки формата изображений AVIF (AV1 Image Format), в котором задействованы технологии внутрикадрового сжатия из формата кодирования видео AV1. Добавлена возможность просмотра локальных HTML-страниц в режиме читателя. Включена поддержка открытия нескольких окон с видео в режиме Picture-in-Picture.

 

[Friend]

Обновление Firefox 85.0.1 c устранением уязвимости. Начало активации Fission в ночных сборках

Спойлер

Доступны корректирующие выпуски Firefox 85.0.1 и Firefox ESR 78.7.1, в которых устранена критическая уязвимость, которая может привести к выполнению кода в системе при открытии определённым образом оформленного содержимого. Проблема вызвана переполнением буфера в библиотеке Angle с реализацией OpenGL ES, которая развивается проектом Chromium и выполняет функцию прослойки для трансляции вызовов OpenGL ES в OpenGL, Direct3D 9/11, Desktop GL и Vulkan. Из-за неверного расчёта размера параметров глубины для сжатых текстур, возникают условия обращения к области за границей выделенного буфера. Детали о проблеме пока не раскрываются.

Из других исправлений в Firefox 85.0.1 отмечаются:

• Запрещён доступ к специальным путям NTFS (например, "c:/:$i30:$bitmap"), манипуляции с которыми могут привести к повреждению ФС.
• Устранён крах при аутентификации на сайтах, использующих SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) на устройствах macOS с CPU на базе новых ARM-чипов M1.
• Убран вывод на печать дополнительной пустой странницы в конце некоторых документов.
• Устранён крах, проявляющийся при манипуляциях с Cache API.
• Налажена работа внешних обработчиков схем URL при запуске Firefox из пакета flatpak.

Дополнительно можно отметить включение для 1/4 пользователей ночных сборок Firefox режима Fission с реализацией модернизированной многопроцессной архитектуры для более строгой изоляции страниц. При активации Fission страницы разных сайтов всегда размещаются в памяти разных процессов, в каждом из которых применяется своя изолированная песочница (sandbox). При этом разделение по процессам осуществляется не по вкладкам, а по доменам, что позволяет дополнительно изолировать содержимое внешних скриптов и iframe-блоков. Включить режим Fission вручную можно на странице about:preferences#experimental или через переменную "fission.autostart=true" в about:config.

 

[Friend]

Обновление Firefox 85.0.2

Спойлер

Доступен корректирующий выпуск Firefox 85.0.2, в котором устранена взаимная блокировка, приводившая к зависанию при запуске. Например, при определённом стечении обстоятельств зависание наблюдается при запуске Firefox через .desktop-файл в окружении Xfce. Отмечается, что вызывающая взаимную блокировку ошибка присутствует достаточно давно, но изменения в Firefox 85 значительно повысили вероятность зависания.

 

[ska79]

У себя на firefox наблюдаю проблему со скачиванием файлов - сначала при попытке скачать файл выдавало ошибку файл не может быть сохранён так как не может быть прочитан. Поиск в сети выдал как исправить данную проблему, сделал по инструкции. Теперь файлы добавляет в загрузки, но не скачивает. Переустановил систему на ноуте стояла вин 10 32 поставил вин 10 64. Всё также. При этом на пк подобной проблемы не возникает. Я один такой счастливчик?

[sputnikk]

12 часов назад, ska79 сказал:

сделал по инструкции

так? https://forum.mozilla-russia.org/viewtopic.php?pid=779099#p779099

[ska79]

8 часов назад, sputnikk сказал:

так?

вот так тыц

Ваш метод не помог. При попытке скачать файл exe выдаёт ошибку файл не может быть сохранён так как не может быть прочтен.

Изменено 17 февраля, 2021 пользователем ska79

[Friend]

Релиз Firefox 86

Спойлер

Состоялся релиз web-браузера Firefox 86. Кроме того, сформировано обновление ветки с длительным сроком поддержки 78.8.0. На стадию бета-тестирования в ближайшие часы будет переведена ветка Firefox 87, релиз которой намечен на 23 марта.

Основные новшества:

• В строгом режиме блокировки нежелательного контента (strict) активирован режим полной защиты Cookie (Total Cookie Protection), в котором для каждого сайта используется отдельное изолированное хранилище для Cookie. Предложенный метод изоляции не позволяет использовать Cookie для отслеживания перемещения между сайтами, так как все Cookie, выставляемые из загружаемых на сайт сторонних блоков, теперь привязываются к основному сайту и не передаются при обращении к этим блокам с других сайтов. В виде исключения возможность межсайтовой передачи Cookie оставлена для сервисов, не связанных с трекингом пользователей, например, применяемых для единой аутентификации. Информация о заблокированных и разрешённых межсайтовых Cookiе отображается в меню, показываемом при нажатии на символ щита в адресной строке.
• Для всех пользователей активирован новый интерфейс предпросмотра документа перед выводом на печать и обеспечена интеграция с системными настойками принтера. Новый интерфейс работает по аналогии с режимом читателя и приводит к открытию предпросмотра в текущей вкладке с заменой имеющегося содержимого. В боковой панели предложены инструменты для выбора принтера, настройки формата страницы, изменения параметров вывода на печать и управления включением печати заголовков и фона.
• Операции отрисовки элементов Canvas и WebGL перенесены в отдельный процесс, отвечающий за вынос операций на плечи GPU. Изменение позволило значительно повысить стабильность и производительность сайтов, использующих WebGL и Canvas.
• Весь код, связанный с декодированием видео, перемещён в новый процесс RDD, что позволило повысить безопасность за счёт изоляции обработчиков видео в отдельном процессе.
• В сборках для Linux и Android включена защита от атак, манипулирующих пересечением стека и кучи. Защита основана на применении опции "-fstack-clash-protection", при указании которой компилятор подставляет проверочные вызовы (probe) при каждом статическом или динамическом выделении места для стека, которые позволяют выявлять факты переполнения стека и блокировать методы атак на основе пересечения стека и кучи, связанные с пробросом потока выполнения через guard-страницы защиты стека.
• В режиме читателя появилась возможность просмотра HTML-страниц, сохранённых на локальной системе.
• Включена по умолчанию поддержка формата изображений AVIF (AV1 Image Format), в котором задействованы технологии внутрикадрового сжатия из формата кодирования видео AV1. Контейнер для распространения сжатых данных в AVIF полностью аналогичен HEIF. AVIF поддерживает как изображения в HDR (High Dynamic Range) и цветовом пространстве Wide-gamut, так и в стандартном динамическом диапазоне (SDR). Ранее для включения AVIF требовалась установка параметра "image.avif.enabled" в about:config.
• Включена поддержка одновременного открытия нескольких окон с видео в режиме Picture-in-Picture.
   
• Прекращена поддержка экспериментального режима SSB (Site Specific Browser), позволявшего создать для сайта отдельный ярлык для запуска без элементов интерфейса браузера, с отдельным значком на панели задач, подобно полноценным приложениям ОС. В качестве причин прекращения поддержки упоминается наличие нерешённых проблем, сомнительная польза для пользователей настольных систем, ограниченность ресурсов и желание направить их на развитие основных продуктов.
• Для соединений WebRTC (PeerConnections) прекращена поддержка протокола DTLS 1.0 (Datagram Transport Layer Security), основанного на TLS 1.1 и использовавшегося в WebRTC для передачи звука и видео. Вместо DTLS 1.0 рекомендуется использовать DTLS 1.2, основанный на TLS 1.2 (спецификация DTLS 1.3 на базе TLS 1.3 ещё не готова).
  
   
• В CSS включена функция image-set(), позволяющая выбрать изображение из набора вариантов с разным разрешением, наиболее подходящее для текущих параметров экрана и пропускной способности сетевого подключения.

• В CSS-свойстве "list-style-image, предназначенном для определения изображения для меток в списке, разрешено указание любых форм определения изображений через CSS.
• В CSS включён псевдокласс ":autofill", позволяющий отследить автоматическое заполнение браузером полей в теге input (при ручном заполнении селектор не срабатывает).

• В JavaScript по умолчанию включён встроенный объект Intl.DisplayNames, через который можно получить локализированные названия языков, стран, валют, элементов дат и т.п.

• В DOM обеспечен сброс значения свойства "Window.name" в пустое значение при загрузке во вкладке страницы с другим доменом и восстановление старого значения при нажатии кнопки "назад" и возвращения к старой странице.
• В инструменты для web-разработчиков добавлена утилита, выводящая предупреждение при выставлении значений отступов (margin или padding) в CSS для внутренних элементов таблиц.
   
• В панели инструментов для web-разработчиков обеспечен показ числа ошибок на текущей странице. При клике на красный индикатор с числом ошибок можно сразу перейти в web-консоль для просмотра списка ошибок.

Кроме новшеств и исправления ошибок в Firefox 86 устранено 25 уязвимостей, из которых 18 помечены как опасные. 15 уязвимостей (собраны под CVE-2021-23979 и CVE-2021-23978) вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

 

[Friend]

Обновление Firefox 86.0.1

Спойлер

Доступен корректирующий выпуск Firefox 86.0.1, в котором предложено несколько исправлений:

• Устранён крах при запуске, проявляющийся в различных дистрибутивах Linux. Проблема была вызвана неверной проверкой размера памяти в коде загрузки цветовых профилей ICC, написанном на языке Rust.
• Исправлена проблема с зависанием Firefox после выхода macOS из спящего режима на системах с процессорами Apple M1.
• Устранена ошибка, приводившая к потере фокуса в активном окне после изменения windowReference.location.href.
• Исправлен выход за границу видимости данных в полях с датой и временем (<input type="date"> и <input type="time">) из-за неверного расчёта ширины поля.
• Устранена ошибка, приводившая к неопределённому поведению в дополнениях, манипулирующих группами вкладок.

 

[Friend]

В Firefox 87 будет урезано содержимое HTTP-заголовка Referer

Спойлер

Компания Mozilla изменила метод формирования заголовка HTTP Referer в выпуске Firefox 87, намеченном на завтра. С целью блокирования потенциальных утечек конфиденциальных данных по умолчанию при переходе на другие сайты HTTP-заголовок Referer будет включать не полный URL источника, с которого осуществлён переход, а лишь домен. Путь и параметры запроса будут вырезаться. Т.е. вместо "Referer: https://www.example.com/путь/?аргументы" будет передан "Referer: https://www.example.com/". Начиная с Firefox 59 подобная чистка производилась в режиме приватного просмотра, а теперь будет распространена и на основной режим.

Новое поведение поможет предотвратить передачу лишних данных о пользователе рекламным сетям и прочим внешним ресурсам. В качестве примера приводятся некоторые медицинские сайты, в процессе показа рекламы на которых третьи лица могут получить сведения конфиденциального характера, такие как возраст и поставленный пациенту диагноз. При этом удаление деталей из Referer может негативно повлиять на сбор статистики о переходах владельцами сайтов, которые теперь не смогут точно определить адрес предыдущей страницы, например для понимания с какой именно статьи был совершён переход. Также может нарушиться работа некоторых систем динамической генерации содержимого, выполняющих разбор ключей, которые привели к переходу из поисковой системы.

Для управления выставлением Referer предусмотрен HTTP-заголовок Referrer-Policy, при помощи которого владельцы сайтов могут переопределить поведение по умолчанию для переходов со своего сайта и вернуть указание в Referer полной информации. В настоящее время по умолчанию применяется политика "no-referrer-when-downgrade", при которой Referer не отправляется при переходе с HTTPS на HTTP, но передаётся в полной форме при загрузке ресурсов по HTTPS. Начиная с Firefox 87 начнёт действовать политика "strict-origin-when-cross-origin", подразумевающая вырезание путей и параметров при отправке запроса на другие хосты при обращении по HTTPS, удаление Referer при переходе с HTTPS на HTTP и передачу полного Referer для внутренних переходов в рамках одного сайта.

Изменение будет действовать для обычных навигационных запросов (переходов по ссылкам), автоматических редиректов и при загрузке внешних ресурсов (изображений, СSS, скриптов). В Chrome переход по умолчанию на "strict-origin-when-cross-origin" был осуществлён летом прошлого года.
 

 

[Friend]

Релиз Firefox 87

Спойлер

Состоялся релиз web-браузера Firefox 87. Кроме того, сформировано обновление ветки с длительным сроком поддержки 78.9.0. На стадию бета-тестирования переведена ветка Firefox 88, релиз которой намечен на 20 апреля.

Основные новшества:

• При использовании функции поиска и активации режима выделения всех найденных совпадений (Highlight All) на полосе прокрутки теперь отображаются метки для индикации позиции найденных ключей.
• Удалены редко используемые элементы из меню Library. В меню Library оставлены только ссылки на закладки, историю и загрузки (удалены синхронизированные вкладки, недавние закладки и список Pocket). На скриншоте ниже слева состояние как было, а справа - как стало в Firefox 87:
• Значительно упрощено меню Web Developer - отдельные ссылки на инструменты (Inspector, Web Console, Debugger, Network Style Error, Performance, Storage Inspector, Accessibility и Application) заменены на общий пункт Web Developer Tools.
• Упрощено меню Help, из которого удалены ссылки на страницы поддержки, клавиатурные комбинации и обзорный тур, которые теперь доступны на общей странице Get Help. Убрана кнопка для импорта из другого браузера.
• Добавлен механизм SmartBlock, решающий проблемы на сайтах, возникающие из-за блокировки внешних скриптов в режиме приватного просмотра или при активации усиленной блокировки нежелательного контента (strict). В том числе SmartBlock позволяет заметно поднять производительность некоторых сайтов, притормаживающих из-за невозможности загрузить код скриптов для отслеживания. SmartBlock автоматически заменяет применяемые для отслеживания скрипты заглушками, обеспечивающими корректную загрузку сайта. Заглушки подготовлены для некоторых популярных скриптов отслеживания пользователей, занесённых в список Disconnect, включая скрипты с виджетами Facebook, Twitter, Yandex, Вконтакте и Google.
• Отключён по умолчанию обработчик клавиши Backspace вне контекста форм ввода. Удаление обработчика объясняется тем, что клавиша Backspace активно используется при наборе текста в формах, но вне фокуса на форме ввода обрабатывается как переход к прошлой странице, что может привести к потере набранного текста из-за непреднамеренного перемещения на другую страницу. Для возвращения старого поведения в about:config добавлена опция browser.backspace_action.
• Изменено формирование HTTP-заголовка Referer. По умолчанию выставлена политика "strict-origin-when-cross-origin", подразумевающая вырезание путей и параметров при отправке запроса на другие хосты при обращении по HTTPS, удаление Referer при переходе с HTTPS на HTTP и передачу полного Referer для внутренних переходов в рамках одного сайта. Изменение будет действовать для обычных навигационных запросов (переходов по ссылкам), автоматических редиректов и при загрузке внешних ресурсов (изображений, СSS, скриптов). Например, при переходе по ссылке на другой сайт по HTTPS вместо "Referer: https://www.example.com/путь/?аргументы" теперь передаётся "Referer: https://www.example.com/".
• Для небольшого процента пользователей включён режим Fission с реализацией модернизированной многопроцессной архитектуры для более строгой изоляции страниц. При активации Fission страницы разных сайтов всегда размещаются в памяти разных процессов, в каждом из которых применяется своя изолированная песочница (sandbox). При этом разделение по процессам осуществляется не по вкладкам, а по доменам, что позволяет дополнительно изолировать содержимое внешних скриптов и iframe-блоков. Включить режим Fission вручную можно на странице about:preferences#experimental или через переменную "fission.autostart=true" в about:config. Проверить включение можно на странице about:support.
• Удалена экспериментальная реализация механизма быстрого открытия TCP-соединений (TFO - TCP Fast Open, RFC 7413), который позволяет сократить число шагов установки соединения за счёт комбинирования в один запрос первого и второго шагов классического 3-этапного процесса согласования соединения и даёт возможность отправки данных на начальном этапе установки соединения. По умолчанию режим TCP Fast Open был отключён и требовал изменения about:config для активации (network.tcp.tcp_fastopen_enable).
  
   
• В соответствии с изменениями, внесёнными в спецификации, прекращено попадание элемента <link> в проверки с использованием псевдо-классов ":link", ":visited" и ":any-link".
• Удалены нестандартные значения CSS-параметра caption-side - left, right, top-outside и bottom-outside (для возвращения предусмотрена настройка layout.css.caption-side-non-standard.enabled).
• Включены по умолчанию событие "beforeinput" и метод getTargetRanges(), при помощи которых web-приложения могут переопределить поведение при редактировании текста на стадии до изменения браузером дерева DOM и получить больший контроль за событиями ввода. Событие "beforeinput" отправляется в обработчик <input> или другого элемента с установленным атрибутом "contenteditable" до того как значение элемента будет изменено. Метод getTargetRanges(), предоставляемый объектом inputEvent, возвращает массив со значениями, позволяющими судить какая часть DOM будет изменена, если событие ввода не будет отменено.
• Для web-разработчиков в режиме инспектирования страниц реализована возможность симулировать медиазапросы "prefers-color-scheme" для тестирования тёмного и светлого оформления без переключения тем оформления в операционной системе. Для включения симуляции тёмной и светлой темы в правом верхнем углу панели инструментов для web-разработчиков добавлены кнопки с изображением солнца и луны.
• В режим инспектирования добавлена возможность активации псевдо-класса ":target" для выбранного элемента по аналогии с ранее поддерживаемыми псевдо-классами ":hover", ":active", ":focus", ":focus-within", ":focus-visible" и ":visited".
• В режиме инспектирования CSS улучшена обработка неактивных CSS-правил. В частности, свойство "table-layout" теперь становится неактивным для элементов, не являющихся таблицами, а свойства "scroll-padding-*" помечаются неактивными для элементов, не поддерживающих прокрутку. Убрана ошибочная пометка свойств "text-overflow" для некоторых значений.

Кроме новшеств и исправления ошибок в Firefox 87 устранено 12 уязвимостей, из которых 7 помечены как опасные. 6 уязвимостей (собраны под CVE-2021-23988 и CVE-2021-23987) вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.

Перешедшая на стадию бета-тестирования ветка Firefox 88 примечательна поддержкой масштабирования щипком на тачпадах в Linux с графическими окружениями на базе протокола Wayland и включением по умолчанию поддержки формата изображений AVIF (AV1 Image Format), в котором задействованы технологии внутрикадрового сжатия из формата кодирования видео AV1.

 

[Friend]

В Firefox решено не удалять компактный режим и активировать WebRender для всех Linux-окружений

Спойлер

Разработчики Mozilla решили не удалять компактный режим отображения панелей и продолжить поставку связанной с ним функциональности. При этом видимая пользователям настройка для выбора режима панели (меню "гамбургер" в панели -> Customize -> Density -> Compact или Персонализация -> Значки -> Компактные) будет убрана по умолчанию. Для возвращения настройки в about:config появится параметр "browser.compactmode.show", возвращающий кнопку для активации компактного режима, но с примечанием об отсутствии его официальной поддержки. Для пользователей, у которых включён компактный режим параметр будет активирован автоматически.

Изменение будет реализовано в выпуске Firefox 89, намеченном на 18 мая, в котором также запланировано включение обновлённого оформления, развиваемого в рамках проекта Proton. Напомним, что в компактном режиме используются кнопки меньшего размера и убираются лишние пустоты вокруг элементов панелей и области вкладок для высвобождения дополнительного вертикального пространства для контента. Режим планировалось убрать из-за желания упростить интерфейс и предложить оформление, которое бы подходило большинству пользователей.

Дополнительно можно отметить, что в Firefox 88, намеченном на 20 апреля, ожидается активация WebRender для всех пользователей Linux, включая рабочие столы Xfce и KDE, все версии Mesa и системы с драйверами NVIDIA (ранее webRender был включён только для GNOME при наличии драйверов Intel и AMD). WebRender написан на языке Rust и позволяет добиться существенного увеличения скорости отрисовки и снижения нагрузки на CPU за счёт выноса на сторону GPU операций отрисовки содержимого страницы, которые реализованы через выполняемые в GPU шейдеры. Для принудительного включения в about:config следует активировать настройку "gfx.webrender.enabled" или запустить Firefox с выставленной переменной окружения MOZ_WEBRENDER=1.

 

[Friend]

В Firefox 90 будет удалён код, обеспечивающий поддержку FTP

Спойлер

омпания Mozilla приняла решение удалить из Firefox встроенную реализацию протокола FTP. В выпуске Firefox 88, намеченном на 19 апреля, поддержка FTP будет отключена по умолчанию (в том числе настройка browserSettings.ftpProtocolEnabled будет переведена в режим только для чтения), а в выпуске Firefox 90, запланированном на 29 июня, будет удалён код, связанный с FTP. При попытке открытия ссылок с идентификатором протокола "ftp://" браузер будет вызывать внешнее приложение по аналогии с тем как вызываются обработчики "irc://" и "tg://".

В качестве причины прекращения поддержки FTP называется незащищённость данного протокола от модификации и перехвата транзитного трафика при совершении MITM-атак. По мнению разработчиков Firefox, в современных условиях нет причин в использовании FTP вместо HTTPS для загрузки ресурсов. Кроме того, код поддержки FTP в Firefox очень старый, создаёт проблемы при сопровождении и имеет историю выявления большого числа уязвимостей в прошлом.

Напомним, что ранее в Firefox 61 уже была запрещена загрузка ресурсов по протоколу FTP из страниц, открытых по HTTP/HTTPS, а в Firefox 70 была прекращена отрисовка содержимого файлов, загружаемых через ftp (например, при открытии через ftp перестали отображаться изображения, README и html-файлы, а сразу стал показываться диалог загрузки файла на диск). В Chrome поддержка протокола FTP прекращена в январском выпуске Chrome 88. По оценке Google, FTP уже почти не используется - доля пользователей FTP составляет около 0.1%.