【信仰充值中心】Pale Moon 29 正式版更新日志

原文:https://bbs.popkart.org/?thread-41.htm

前注:Pale Moon 是 Firefox 的一个旧版衍生,采用 Goanna 内核,并使用 XUL 进行界面布局。
标 DiD(Defense-in-Depth)的要点,是预防针式的漏洞修复,避免以后可能出现的问题,参考原文。

palemoon_头图.jpg

v29.4.4 (2022-01-18)

这是一次安全更新。

更新内容:

  • 提高了应用程序库加载的安全性(DiD)
  • 修复了 JavaScript 序列化的一个问题(DiD)
  • 修复了 IndexedDB 中潜在的越界问题(DiD)
  • 修复了小部件(?)数据处理代码中的潜在问题(DiD)
  • 修复了处理截断/损坏的传输流时可能被利用的崩溃问题
  • 修复了 DOM FileReader 代码中的一个问题
  • 将 NSS 更新至 3.52.3 以解决安全问题
  • 修复了以下安全问题:CVE-2022-22736, CVE-2022-22741, CVE-2021-4140, CVE-2022-22746, CVE-2022-22744 and CVE-2022-22747
  • 统一 XUL 平台 Mozilla 安全补丁概述:8个已修复,4个DiD,17个不适用

v29.4.3 (2021-12-14)

这是一次安全更新,同时也增加一些额外功能。 此次更新重新支持了 FUEL,以保证旧扩展的兼容性,详情见实施日志。

更新内容:

  • 重新支持 FUEL abstraction library
  • 为计时器和文本片段添加额外的健全性检查(DiD)
  • 为程序线程逻辑添加了一个潜在的奔溃保护(DiD)
  • 修复了以下安全问题:CVE-2021-43537, CVE-2021-43541, CVE-2021-43536, CVE-2021-43545 and CVE-2021-43542
  • 统一 XUL 平台 Mozilla 安全补丁概述:已修复5个, 3个DiD, 10个不可用

实施日志:

  • 尽管于 29.4.0 和 29.4.2 版本被移除,也在 Pale Moon 内部废弃已久,FUEL 在经过社区的强烈反对和扩展兼容修复于事无补的情况下,又复活了。同时,这也是永久的复活,因为有些用户可能会离开,或停留在不安全的版本上——至于扩展的兼容性问题,似乎也没人来解决。在论坛上有关于此方向变化更详细的公告

v29.4.2.1 (2021-11-11)

此次更新修复一个小问题:自动完成的下拉列表的样式不正确,导致自定义主题出现问题或未按预期显示(如不可读的情况)。

v29.4.2 (2021-11-09)

这是一次安全更新。

更新内容:

  • 修复了可能导致域名混淆的 IDN 规范遵从性问题
  • 修复了几个间歇性的线程健全性问题(DiD)
  • 修复了网络连接中可能出现的 UAF 风险(DiD)
  • 修复了潜在的奔溃风险(尚未暴露,DiD)
  • 修复了提交表单时潜在的被骗风险(CVE-2021-38508)
  • 通过 XSLT 修复了网页脚本沙盒逃逸的问题(CVE-2021-38503)
  • 添加了一个设置项以启用与早期 TLS 1.3 规范兼容的模式,详情见实施日志
  • 统一 XUL 平台 Mozilla 安全补丁概述:已修复3个,1个已应用,4个DiD,7个不可用

安全注意:如果已启用 HTTP Alternative Services for Opportunistic Encryption 功能,此时我们强烈建议禁用它:设置 -> 安全 -> Opportunistic Encryption -> Enable HTTP Alternative Services for Opportunistic Encryption。因为 http -> https 这种脆弱的传统处理办法已经被违背和滥用(partial opt-in bypass)。注意,由于这些既有风险,以及连接到服务器缺乏透明度的原因,我们默认将其禁用(包括其他任何 OE)。关于此问题的更多详情,可参阅 CVE-2021-38507。

实施日志:

  • 新增了一个设置项(security.ssl.enable_tls13_compat_mode),它允许用户启用兼容较旧协议规范草案的 TLS 1.3 模式。变更此设置项后,需要重启浏览器。注意,请只在必要时开启(如使用过时的代理软件、负载平衡器或中间件等情况),因为它可能会导致连接的安全性问题。
  • FUEL 已被移除(再次)。三个月前我们已经在 29.4.0 中将其移除(尽管之后临时恢复,以使扩展开发人员有更多时间解决问题),我们已经发出明确警告,使用 FUEL 的扩展将无法在此版本正常工作。

v29.4.1 (2021-09-14)

这是一次安全更新。

更新内容:

  • 修复了潜在的崩溃问题(DiD)
  • 修复了 Internet Explorer 潜在的间接攻击问题(CVE-2021-38492)
  • 统一 XUL 平台 Mozilla 安全补丁概述:已修复1个,2个DiD,8个不可用

v29.4.0.2 (2021-08-23)

这是一个微小的更新以解决 Linux 和 Windows 上音频停止工作的问题(尽管这很少出现)。我们仍在排查 Windows 上此问题的根本原因(Linux 方面的原因已经找到)。然而,此次更新,我们暂时恢复 audio library (libcubeb)到之前的版本,以便在此期间为用户提供适当的媒体体验。

v29.4.0.1 (2021-08-18)

这是一个微小的更新以解决以下问题:
在 29.4.0 版本,Pale Moon 已经移除了可选的 FUEL 组件(其在 Mozilla Add-On SDK 中早已被弃用)。这对许多流行的扩展及一些核心功能产生了意外的影响,而这些情况在我们发布前的测试和不稳定通道中并没有被注意到。
作为我们解决问题,并履行承诺的一部分,我们为了扩展开发人员有更多的时间解决问题,此更新将【暂时】恢复 FUEL 组件。如果您是依赖 FUEL 组件或命名空间(如隐式“应用程序”)的扩展开发人员,请在下一个正式版前更新您的扩展。

v29.4.0 (2021-08-17)

这是一个集新功能开发、bug 修复和安全更新的大版本。我们调整了发布时间表,以提供 web 兼容性的改进,而不仅仅作为本月的安全更新。

更新内容:

  • promise.allSettled() 方法已生效
  • 在 windows 和 workers 上实现了全局源
  • 改进了内存分配的性能
  • 将 libcubeb 更新为最新开发版,这提高了 OSS 的兼容性,同时解决了潜在的崩溃、性能和安全问题
  • 将 SQLite 更新至 3.36.0
  • 改进了 web 内容缓存线程的安全性(DiD)
  • 修复了一些潜在的崩溃和安全问题(DiD)
  • 统一 XUL 平台 Mozilla 安全补丁概述:5个DiD,12个不可用

v29.3.0 (2021-07-19/20)

这是一个集新功能开发、bug 修复和安全更新的大版本。

更新内容:

  • 「Web 开发者」现在在菜单中被称为「开发者工具」
  • 更新并调整:主页、快速拨号,及登录页面样式
  • 在设置里做隐私标签内容的重新排布
  • 为支持的站点启用基于 http 的 brotli 压缩,详见实施说明
  • 实现了 EventTarget 构造器
  • 更新了 Windows 10 工具箱样式(窗口样式?)
  • 更新了端口黑名单(移除 10080 端口),详见实施说明
  • CSS:实现了 calc() 方法,对 stroke-dashoffset 启用动画支持
  • 添加了 chrome CSS 样式表的布尔选项支持,以实现更高级的主题配置
  • 添加了 CSS 动态深色主题的支持
  • 根据最新规范变更了 ResizeObserver 的具体实现,详见实施说明
  • 删除了一大堆 Macintosh 相关代码
  • 从布局引擎中移除了过时的系统主题支持
  • 修复了数个崩溃问题
  • Linux:移除了早已过时的 Mesa/Nouveau 驱动,因为它可能导致一些问题
  • 解决了一些安全问题:包括 CVE-2021-30547 及数个没有 CVE 编号的问题
  • 统一 XUL 平台 Mozilla 安全补丁概述:3个已修复,3个DiD,2个推迟(DiD),12个不可用

实施说明:

  • Brotli 压缩算法(数年前引入)最初仅用于在 web 浏览器中使用 https,因为担心其与设计不佳的中间件盒子进行交互,并试图显式重新压缩数据,然而其无法识别新的压缩流类型,甚至出错。而这些框中进行的处理(SDCH)早已被弃用。在此之后,Chrome 及 Firefox 一直保持 http 和 https 之间对 Brotli 的隔离,通过人为地降低 http 的效率(拒绝使用更密集的 Brotli 压缩),进一步推广 https 而非 http。由于没有任何技术缘由不启用 http 上的 Brotli,于是我们将从此版本开始接受纯 http 上的 Brotli(通过接受编码),当服务器也启用它时,带宽使用量将减少20%。
  • 我们维护一个不应从浏览器寻址的端口黑名单(以防止脚本滥用)。前段时间,我们更新了更大范围的端口号,其中就包括端口 10080(Amanda)。然而,很多其他公共服务/设备也使用这个端口(比如随机到它),所以我们再次从黑名单中移除了此端口。
  • ResizeObserver 的实现已更改为现存 API 的更新规范,包括实验属性 contentBoxSizeborderBoxSize,将允许更精细的控件响应和元素大小的更改。为了保证 web 的兼容性,陈旧的 contentRect 大小属性依然支持。

v29.2.1 (2021-06-08)

这是一个小小的错误修正版本~

更新内容:

  • 解决了自动完成偶尔不弹出窗口的问题(同时添加一些调试日志,以便找到根源)
  • 修正了鼠标滚动 DOM 抛出错误的问题
  • 修正了从睡眠状态恢复时,网络发现程序无法正确启动的问题
  • 修正了通过 DOM 大量上传文件时的崩溃问题
  • 修正了可编辑菜单列表按钮在 GTK3 上不可见的问题
  • 减少了错误日志中「重要配置项」的数量,比如单个打印机的属性信息
  • 修复了 JS JIT 编译器不跟踪 debug 环境的问题(DiD)

此版本没有添加 UXP 和 Pale Moon 的安全补丁。

v29.2.0 (2021-04-27)

这是一个面向开发者和错误修复的版本。
以此开端,我们将不再支持没有直接针对 Pale Moon 更新而无人维护的 Firefox 旧扩展(正式分道扬镳),详情见此。

更新内容:

  • 从历史侧边栏新开标签时,如果一次打开过多标签页,Pale Moon 会弹出警告
  • 为了用户界面的一致性,Pale Moon 现在书签文件夹添加了「全部打开」的菜单项,即使其中只有一个项目
  • 在设置里添加了媒体格式控制的分类
  • 添加了明亮/黑暗的默认配色方案选项,详见实施说明
  • 兼容性问题,将对几个特定站点进行 UA 覆盖(万恶的 Chrome。。)
  • 移除了接受 Firefox IDs 以安装扩展的能力
  • 移除了可以移除的 Macintosh 前端代码
  • 将 AV1 依赖库更新至 2.0 版本
  • 清除了平台上的一些 Android 代码
  • 更新了字体,以适配多种族多职业的 emoji 显示
  • 修复了剪贴板的溢出问题,它们可能被错误地渲染
  • 已添加 smoothhigh-quality 以及 pixelated 的值进 CSS 属性 image-rendering
  • 接轨标准,Intl.NumberFormat.formatToParts() 将允许脚本对本地化数字格式进行解构
  • 恢复了 dom.details_element.enabled 配置项,并修复 summary / details 的 html 元素渲染问题
  • 修正了 CSP 一个 .nonce 元素属性的问题
  • 解决了两个安全问题:CVE-2021-29946(DiD)以及 CVE-2021-23994(DiD)
  • 统一 XUL 平台 Mozilla 安全补丁概述:2个DiD,14个不可用

实施说明:

此版本增加了 prefers-color-scheme CSS 属性的支持,该属性告诉站点使用明亮还是黑暗的配色方案。
对于其他浏览器,这将与系统配色直接相关并自动应用(这可能会留足迹,存在隐私问题),所以我们决定通过「设置-内容-颜色」给予用户选择的权利(所有人默认明亮)。

尽管我们也提供了禁用此功能并直接不支持此属性的选项,但注意,这可能会在一些不配置默认配色方案的站点上出现问题,未来我们可能会添加一个类似其他浏览器的「自动」选项,以防系统和网页配色不同带来的割裂感。

v29.1.1 (2021-03-30)

这是一个微小的安全更新及错误修复。

更新内容:

  • 更新了 NSS 以修复证书导入问题,同时 keygen 将回归
  • 移除了对 SVG 元素的 width / height 属性单位限制
  • 默认启用 scrollbar-width 的 CSS 属性
  • 已解决的安全问题:CVE-2021-23981,以及针对潜在文档解析器混淆的修复(DiD)
  • 统一 XUL 平台 Mozilla 安全补丁概述:2个DiD,9个不可用

v29.1.0 (2021-03-02)

这是一个包含开发改进、错误修复和安全更新的一个版本。

新特性:

  • 支持了如下语言:阿拉伯语(ar)、繁体中文(zh-TW)、克罗地亚语(hr)、丹麦语(da)、芬兰语(fi)、加利西亚(德国)、印尼语(id)、冰岛语(is)、日语(ja)、罗马尼亚语(ro)、塞尔维亚语(西里尔)(sr)、斯洛文尼亚语(sl)、泰语(th)
  • 实现了 String.prototype.replaceAll() 方法
  • 实现了 JSON 超集协议
  • 实现了严格良好的 JSON 格式
  • 在 JS 中实现了数字分隔符

更新内容:

  • 更新时区数据至 2021a
  • 修正了 about:license 中的语句并添加了更多已使用的许可证说明
  • 为了兼容,已更新一些用于特定站点的 UA 覆盖
  • 更新了 lz4 库,以获得性能优化及安全更新
  • 提高了严格化的 JSON 性能
  • 进一步改善了对 FreeBSD 的支持
  • 修复了 useragent 的兼容性更改需要重启才能生效的问题
  • 修复了 WebCrypto (隐蔽的加密API)中 AES-GCM 不起作用的问题(这可能会导致一些登录页出错)
  • 修复了页面脚本将浏览历史记录与快速位置状态更改淹没时,浏览器完全死锁的问题
  • 默认情况下,AV1 编码和解码器再次被禁用,因为我们的实现存在重大的流媒体问题(尤其是音频),这需要进一步工作
  • 在某些操作系统上添加了与 html 文件 input 元素上的文件与目录打开的必要对话框交互,以避免恶意网页诱导用户上传敏感文件(CVE-2021-23956 相关)
  • 添加了字体完整性检查,以避免在未打补丁的 Windows 上触发潜在漏洞(CVE-2021-24093 相关)
  • 解决了安全问题:CVE-2021-23974、CVE-2021-23973,以及几个没有编号的内存安全隐患
  • 统一 XUL 平台 Mozilla 安全补丁概述:4个已修复,2个DiD,19个不可用

v29.0.1 (2021-02-06)

这是一个安全和稳定性更新。

更新内容:

  • 修复了控制 frame 树时浏览器的崩溃问题
  • 修复了 ANGLE 的深度纹理问题
  • 为 You Tube Studio 更新了 SSAOU
  • 解决了安全问题:ZDI-CAN-12197

v29.0.0 (2021-02-02)

新的一年,新的里程!

我们的初始目的是让 Google WebComponent 支持这个里程碑版本,然而现在所有合理的 deadline 都已经过去。
所以,取而代之的是,这个新版本将继续建立在开发平台的进一步增强改进、浏览器的新功能添加以及大量错误修复的基础之上。

新增内容:

  • 为 JS 实现了 Intl.PluralRules API
  • 添加了一个常用的设置项(browser.tabs.allowTabDetach),用来禁用拖拽标签到窗口外以新建窗口
  • 将 FLAC 添加为可识别的文件扩展名
  • 实现了对 CSS 属性 scrollbar-width 的基础支持,详见实施说明
  • 增加了对现代 FreeBSD 构建的初步支持
  • 选择性启用 DOM Animations API 的核心特性
  • 默认情况下启用对 AV1 视频的支持(早已构建,但之前未启用)
  • 增加了对指针事件的支持
  • 增加了对 SVG transform-box 属性的支持
  • 增加了对表单 inputmode 属性的支持,以支持软键盘的敏感内容显示
  • 启用了空闲时关闭文件 I/O 进程的资源优化
  • 已默认阻止后台自动播放
  • 除了 GTK2 版本,我们现在还提供 Linux 官方的 GTK3 版本构建
  • Google WebComponents 的部分实现(但暂不可用),详见实施说明

一些改变和 Bug 修复:

  • 将 NSPR 更新至 4.29 版本
  • 将 NSS 更新至 3.59 版本
  • 已禁用存储证书和密码的旧数据库格式,详见实施说明
  • 更新了一些站点的特定 UA 覆盖以解决兼容问题
  • 改进了查找栏的样式,以避免某些系统主题出现难以阅读的文本
  • 删除了大量 Android 限定的代码
  • 将 gkmedias.dll 从 xul.dll 中分离出来
  • 清除了大量冗余和过时的代码路径
  • 修复了 Performance API 的回退问题
  • 修复了强制禁用某些类型缓存后的初始化问题
  • 修复了从 FTP 保存可预览的文件时发生的崩溃
  • 修复了 JS 模块加载导致崩溃的根本原因,详见实施说明
  • 修复了导致打印预览窗口不显示的初始化问题,这很少出现
  • 修复了 Mac 上文本输入不安全时的崩溃问题
  • 默认禁用 Storage Manager API
  • 默认禁用 html tag <menuitem>,如果仍然需要,可以在 about:config 中启用配置项 dom.menuitem.enabled
  • 修复了 XUL 树相关的内存安全问题(CVE-2021-23962)
  • 实施了几项 DiD 修复,以改善稳定性和并解决未来的安全问题
  • 统一 XUL 平台 Mozilla 安全补丁概述:1个已修复,6个DiD,1个已实施,1个推迟下一版本,24个不可用

实施说明:

我们已经实现了对 CSS 属性 scrollbar-width 的基本支持,网页日渐常用的配置是 scrollbar-width: none,即当内容溢出限定空间而不显示滚动条,我们将完全地支持此 none 键值。
此属性的另一个可选值为 thin,尽管支持了这一特性,但它目前依赖于各操作系统的基础主题,所以可能几乎没有影响,并依旧是标准宽度的滚动条(与默认的 auto 相同,Linux 尤是)。

用于存储安全证书和密码的 dbm 数据库格式将不再使用。
同时浏览器无法将旧格式(cert8.db 和 key3.db)转换为现在基于 SQL 的格式,请参阅我们关于配置文件迁移的文档,以获取建议。

有个问题迫使我们在之前版本默认禁用 JS 的 JIT 编译器(IonMonkey)中代码的内联优化,以防止模块脚本崩溃(可以参阅 28.17.0 的更新日志)。
而我们现在追踪到它了(thanks, jarman!),于是,我们将修复先前操作带来的浏览器性能损失,同时解决临时方案可能导致的崩溃问题。

我们已经实现了大量 Google WebComponents(CustomElements 以及 Shadow DOM),但代码还不完全,所以目前通过一个配置项(dom.webcomponents.enabled)控制——但强烈建议目前不要开启,除非你想帮助我们实现这个从根本上改变 web 世界规范的其余部分。
请不要期望此配置项能带来魔法,让 Google 及其附属网站突然可以在没有辅助的情况下「现代化」工作(如 polyfills),虽然我们已经做了很多工作以寻求一个可行的实现,但此规范有点特殊,因为要么全做,要么全不做,因为它不是现有技术的扩展或演变,而是试图在最基本的层面上重新定义网站的工作方式和结构(因此有大量负面反馈)。

你可能感兴趣的:(【信仰充值中心】Pale Moon 29 正式版更新日志)