Mozilla、Firefox 63.0デスクトップ版を正式リリース。

Mozillaは本日2018年10月24日（現地時間10月23日）、Windows、Mac、Linuxなどデスクトップ向けのWebブラウザFirefoxの定期的なメジャーアップデートとなる「Firefox 63.0」を正式リリースしました。

Windows、およびmacOSユーザー向けのパフォーマンスおよび外観の改善が行われています。Windowsでは、ビルトツールを Clang toolcain に移行してパフォーマンスを大幅に向上、Firefox のテーマが、Windows 10 のライトモード、ダークモードにマッチする、などの改善内容となっています。また、macOSの場合には、反応性の向上
をはじめ、タブ切替の高速化、パフォーマンスを重視しないアプリケーションやアプレットについて高性能な GPU ではなく低性能な GPU を使用するようWebGLを設定することができるようになっています。

Firefox 63.0デスクトップ版リリースノート

新機能

Windows ユーザー向けのパフォーマンスおよび外観の改善
- ビルトツールを Clang toolcain に移行したことにより、パフォーマンスを大幅に向上
- Firefox のテーマが、Windows 10 のライトモード、ダークモードにマッチするようになった
macOS ユーザー向けのパフォーマンスの改善
- 反応性の向上
- タブ切替の高速化
- 複数の GPU を搭載しているシステムにおいて、パフォーマンスを重視しないアプリケーションやアプレットについて高性能な GPU ではなく低性能な GPU を使用するよう WebGL を設定することができるようになった
コンテンツブロッキングが追加された。これはウェブ上でのトラッキング技術をユーザーがコントロールするための機能である。バージョン 63 では、サードパーティーによるトラッキング Cookie あるいはすべてのトラッカーをブロックすることを選択できるようになるほか、コンテンツブロッキングを有効にしていると正常に動かない信頼できるサイトについて例外として許可することができる
Linux: WebExtensions がそれ自身のプロセスで稼働するようになった
メインメニューから終了する際に、複数のウインドウやタブが開いていることを警告するようになった
アニメーションの低減のため、OS のアクセシビリティ機能の状態を検知できるようになった
トップサイトに検索へのショートカットが追加された: Amazon および Google が Firefox ホームページ (新しいタブ) に表示されるようになった。これらのサイトが選択されると、フォーカスがアドレスバーに移動し検索が開始される。現時点では米国のみで有効

修正

特定の状況で、アドレスバーへのブックマーク済みの URL の自動補完が機能しない問題を修正

変更

ブラウジングライブラリーで、個々のブックマークにおける「サイドバーに開く」機能が除去された
オプションから「更新の確認は行わない」が除去された。エンタープライズ向けには DisableAppUpdate ポリシーを使用されたい
Ctrl+Tab ショートカットは、タブのサムネイルプレビューを最近閲覧した順に表示するようになった。これは新しいプロファイルでのみ既定で有効であり、オプションから変更できる

開発者

ナビゲーションと一貫性の向上のため開発者ツールメニューが一新された
アクセシビリティインスペクターが既定で有効化された。このツールは、現在のページ上の支援技術に関する情報を提供する
Web Components カスタムエレメントおよび shadow DOM のサポートを追加
インスペクターに Font Editor が追加され、バリアブルフォントと同様に静的なフォントでもプロパティを編集できるようになった

セキュリティ修正

今回のアップデートでのセキュリティ問題についての修正は合計14件で、重要度区分「最高(critical)」2件、「高(high)」3件、「中(moderate)」4件、そして「低(low)」5件の修正が行われています。

［high］CVE-2018-12391: HTTP Live Stream audio data is accessible cross-origin
During HTTP Live Stream playback on Firefox for Android, audio data can be accessed across origins in violation of security policies. Because the problem is in the underlying Android service, this issue is addressed by treating all HLS streams as cross-origin and opaque to access.
［high］CVE-2018-12392: Crash with nested event loops
When manipulating user events in nested loops while opening a document through script, it is possible to trigger a potentially exploitable crash due to poor event handling.
［high］CVE-2018-12393: Integer overflow during Unicode conversion while loading JavaScript
［moderate］CVE-2018-12395: WebExtension bypass of domain restrictions through header rewriting
By rewriting the Host request headers using the webRequest API, a WebExtension can bypass domain restrictions through domain fronting. This would allow access to domains that share a host that are otherwise restricted.
［moderate］CVE-2018-12396: WebExtension content scripts can execute in disallowed contexts
A vulnerability where a WebExtension can run content scripts in disallowed contexts following navigation or other events. This allows for potential privilege escalation by the WebExtension on sites where content scripts should not be run.
［moderate］CVE-2018-12397:
A WebExtension can request access to local files without the warning prompt stating that the extension will “Access your data for all websites” being displayed to the user. This allows extensions to run content scripts in local pages without permission warnings when a local file is opened.
［moderate］CVE-2018-12398: CSP bypass through stylesheet injection in resource URIs
By using the reflected URL in some special resource URIs, such as chrome:, it is possible to inject stylesheets and bypass Content Security Policy (CSP).
［low］CVE-2018-12399: Spoofing of protocol registration notification bar
When a new protocol handler is registered, the API accepts a title argument which can be used to mislead users about which domain is registering the new protocol. This may result in the user approving a protocol handler that they otherwise would not have.
［low］CVE-2018-12400: Favicons are cached in private browsing mode on Firefox for Android
In private browsing mode on Firefox for Android, favicons are cached in the cache/icons folder as they are in non-private mode. This allows information leakage of sites visited during private browsing sessions.
Note: this issue only affects Firefox for Android. Desktop versions of Firefox are unaffected.
［
low］CVE-2018-12401: DOS attack through special resource URI parsing
Some special resource URIs will cause a non-exploitable crash if loaded with optional parameters following a ‘?’ in the parsed string. This could lead to denial of service (DOS) attacks.
［low］CVE-2018-12402: SameSite cookies leak when pages are explicitly saved
SameSite cookies are sent on cross-origin requests when the “Save Page As…” menu item is selected to save a page, violating cookie policy. This can result in saving the wrong version of resources based on those cookies.
［low］CVE-2018-12403: Mixed content warning is not displayed when HTTPS page loads a favicon over HTTP
If a site is loaded over a HTTPS connection but loads a favicon resource over HTTP, the mixed content warning is not displayed to users.
［critical］CVE-2018-12388: Memory safety bugs fixed in Firefox 63
Mozilla developers and community members Christian Holler, Dana Keeler, Ronald Crane, Marcia Knous, Tyson Smith, Daniel Veditz, and Steve Fink reported memory safety bugs present in Firefox 62. Some of these bugs showed evidence of memory corruption and we presume that with enough effort that some of these could be exploited to run arbitrary code.
［critical］CVE-2018-12390: Memory safety bugs fixed in Firefox 63 and Firefox ESR 60.3
Mozilla developers and community members Christian Holler, Bob Owen, Boris Zbarsky, Calixte Denizet, Jason Kratzer, Jed Davis, Taegeon Lee, Philipp, Ronald Crane, Raul Gurzau, Gary Kwong, Tyson Smith, Raymond Forbes, and Bogdan Tara reported memory safety bugs present in Firefox 62 and Firefox ESR 60.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort that some of these could be exploited to run arbitrary code.