Firefox 52 がリリースされた
Mozilla は米国時間 2017 年 3 月 7 日、安定性及びセキュリティ問題の修正を含む Firefox のメジャーアップデート版である Firefox 52.0 をリリースした。延長サポート版 である Firefox ESR もバージョン 52.0 にアップデートされている (ESR 45.8.0 も継続してリリースされている)。
Firefox 52.0 での新機能や改良点、セキュリティ修正、既知の問題は次のとおり。
新機能及び改良点
- 新機能
- WebAssembly への対応を追加 (プラグインを用いることなくネイティブに近いパフォーマンスをウェブベースのゲームやアプリ、ソフトウェアライブラリにもたらす新たな標準技術)
- 新機能
- Wi-Fi アクセスポイントへの接続を簡単にするため、キャプティブポータルの自動判別を追加 (キャプティブポータルでの認証を通じてインターネットへ接続する必要がある場合、Firefox が新しいタブでポータルのログインページを開くようメッセージを表示)
- 新機能
- 安全でない HTTP サイトによる「secure」属性付き Cookie の設定を禁止する Strict Secure Cookies 仕様を実装 (場合によっては、安全でないサイトが同じベースドメインから発行された既存の「secure」な Cookie と同名の Cookie を設定することも禁止)
- 新機能
- ログインフォームを含む安全でない HTTP ページ での警告を追加 (HTTPS を使用していないページ上でユーザー名やパスワード入力欄を選択すると、「この接続は安全ではありません」というメッセージを表示)
- 新機能
- タッチスクリーン搭載の Windows パソコン上で Firefox のマルチプロセスを有効化
- 新機能
- Firefox Sync を使って、ある端末から別の端末へタブを送って開けるようになった
- 変更
- Flash 以外のプラグインの Netscape Plugin API (NPAPI) 対応を廃止 (Silverlight、Java、Acrobat などが使用できなくなる)
- 変更
- 以下のようにダウンロード関連のユーザー体験を改善
- ダウンロードが失敗した場合、ツールバーに通知を表示
- 最近のダウンロード項目へのクイックアクセスを 3 件から 5 件に変更
- キャンセルと再開ボタンのサイズを拡大
- 変更
- 追跡者によるユーザーのフィンガープリンティング要素を減らすため、Battery Status API を削除
- 変更
- Windows 上でコンテンツの描画に Direct2D が使われていない場合、代わりに Skia を使用するようになった
- 変更
- Windows XP および Windows Vista 上の Firefox ユーザーを延長サポート版 (ESR) へ移行
- 変更
- Mozilla の CA 証明書プログラム に含まれているルート証明書を最上位とする SHA-1 証明書に遭遇した場合、「信頼できない接続」エラーを表示 (これをユーザーが無視して接続することはできない。ただし、手作業でインポートされたルート証明書を最上位とする SHA-1 証明書は引き続き許容される。詳細は Mozilla セキュリティチームの SHA-1 廃止計画 を参照されたい)
- 開発者
- CSS グリッドレイアウト を有効化 (グラフィックデザインの新たな可能性の扉を開くものである)
- 開発者
- 画面共有のセキュリティ を強化し、プレビュー表示を追加するとともにドメインホワイトリストを廃止
- 開発者
- レスポンシブデザインモード を再設計し、各種端末の選択、ネットワーク制限などの機能を追加
- 修正
- Windows 上で、以下のような、サードパーティ製キーボードレイアウトを用いた文字入力への対応を改善
- 連鎖的修飾キーを備えたキーボードレイアウト
- 印刷不可キーあるいは修飾キーの連続による 2 文字以上の入力
- 修飾キーの連続で文字を構成できなかった場合の文字入力
セキュリティ修正
このアップデートでのセキュリティ問題への修正は合計 28 件、重要度区分において 最高 7 件、高 4 件、中 11 件、低 6 件が修正されている。
- CVE-2017-5400
- asm.js への JIT スプレー攻撃による ASLR と DEP の回避
- CVE-2017-5401
- ErrorResult 処理中のメモリー破壊
- CVE-2017-5402
- FontFace オブジェクト内イベント処理時の開放後使用
- CVE-2017-5403
- addRange を使った誤ったルートオブジェクトへの選択範囲追加による開放後使用
- CVE-2017-5404
- 選択範囲処理中の開放後使用
- CVE-2016-5406
- Canvas 演算による Skia 内のセグメンテーション違反
- CVE-2016-5407
- SVG フィルターを用いた固定小数点タイミングサイドチャネル攻撃を通じたピクセルと履歴の読み取り
- CVE-2016-5410
- JavaScript ガベージコレクションによる増分清掃中のメモリー破壊
- CVE-2016-5411
- libGLES 内のバッファストレージにおける開放後使用
- CVE-2017-5409
- Mozilla Windows Updater と Maintenance Service におけるコールバック引数を通じたファイル削除
- CVE-2017-5408
- CORS に違反した動画キャプションのクロスオリジン読み取り
- CVE-2017-5412
- SVG フィルターにおけるバッファオーバーフロー読み取り
- CVE-2017-5413
- 双方向演算中のセグメンテーション違反
- CVE-2017-5414
- ファイルピッカーが誤った既定ディレクトリーを選択できてしまう問題
- CVE-2017-5415
- blob URL を通じたアドレスバー偽装
- CVE-2017-5416
- HttpChannel における null 参照クラッシュ
- CVE-2017-5417
- URL のドラッグ＆ドロップによるアドレスバー偽装
- CVE-2017-5425
- 過度に寛大な Gecko Media Plugin サンドボックスの正規表現アクセス
- CVE-2017-5426
- seccomp-bpf フィルター実行中に Gecko Media Plugin が起動しない
- CVE-2017-5427
- 存在しない chrome.manifest ファイルが起動中に読み込まれる
- CVE-2017-5418
- HTTP ダイジェスト認証レスポンス解析時の境界外読み取り
- CVE-2017-5419
- 繰り返し表示される認証プロンプトによる DOS 攻撃
- CVE-2017-5420
- javascript: URL によってアドレスバーの場所が分かりにくくされる
- CVE-2017-5405
- FTP レスポンスコードによってポート用未初期化値が使用される恐れ
- CVE-2017-5421
- 印刷プレビューの偽装
- CVE-2017-5422
- ひとつのハイパーリンク内で view-source: プロトコルを繰り返し用いることによる DOS 攻撃
- CVE-2016-5399
- Firefox 52 で修正されたメモリー安全性の問題
- CVE-2016-5398
- Firefox 52 と Firefox ESR 45.8 で修正されたメモリー安全性の問題
既知の問題
Firefox 52.0 で修正された全ての問題は Mozilla.org bugs fixes (英語) を、一般的な情報は リリースノート を、開発者向けの情報は MDN を参照されたい。
アップデート及びシステム要件
Firefox 52.0 は Windows, Mac そして Linux 版が用意され、Mozilla Japan ウェブサイトよりダウンロード可能となっている。また、80 以上の言語に対応した各国語版は 次世代ブラウザ Firefox – 各国語版のダウンロード よりダウンロード可能となっている。
Firefox 52.0 の利用に必要なシステム要件については、Firefox 52 システム要件 を参照されたい。
- ダウンロード：
- 52.0, ESR 52.0, 45.8.0
- リリースノート：
- 52.0, ESR 52.0, ESR 45.8.0
- セキュリティアドバイザリ：
- MFSA 2017-05 (52.0, ESR 52.0), MFSA 2017-06 (ESR 45.8.0)
- 修正されたバグ：
- 52.0, ESR 52.0, ESR 45.8.0 (英語)
