BT

如何利用碎片时间提升技术认知与能力? 点击获取答案

Firefox 46解决安全问题,改善性能

| 作者 James Chesters 关注 1 他的粉丝 ,译者 大愚若智 关注 9 他的粉丝 发布于 2016年5月3日. 估计阅读时间: 5 分钟 | GMTC大前端的下一站,PWA、Web框架、Node等最新最热的大前端话题邀你一起共同探讨。

Mozilla刚刚发布了Firefox 46,该版本修复了多个严重漏洞,并改善了JavaScript JIT编译器的安全性。

安全和性能改进是Firefox 46最大的变化。该版本共修复10个安全漏洞,其中有1个严重漏洞,4个高危漏洞,其余6个为中等严重程度的漏洞。

这个严重漏洞与Mozilla所称的其他内存安全隐患有关,“某些情况导致的内存错误”证明了该Bug的存在,Mozilla团队称,“付出足够努力”就能利用它执行任何代码。

其他高危漏洞则与Firefox for Android有关,在这些漏洞的影响下,攻击者有可能通过移动设备的握持方向数据(Orientation data)和动作传感器推测出触屏上的操作。Mozilla的报告认为,如果不修复这个问题可能危及用户隐私,并有可能暴露“随同用户其他活动输入的PIN码”。

该版本中新增了有关JavaScript Just In Time(JIT)编译器的重要更新。在Firefox已启用W^X JIT代码这篇博客中,Mozilla软件工程师Jan de Mooij称:

几乎所有JIT(包括Firefox目前使用的)都会使用RWX(读-写-执行)权限为代码分配内存页面。JIT通常需要修补代码(例如用于内联缓存(Inline cache)),如果内存可写,就能在不影响性能的情况下做到这一点。

然而de Mooij认为,这种做法会造成内存出错和安全隐患,RWX页面的存在使得Bug更容易被利用。在Firefox 46中,JIT代码页默认为不可写。

对于这个改动,de Mooij也承认W^X并不“完美”,也不是“能解决任何安全问题的万全之策”,但依然坚信这个改动可以“让某些攻击更难实施...只有少量(相对简短的)代码路径可以访问RW代码,并且可读写的时间窗更短”。

为了改善稳定性和性能,Mozilla还在Firefox 46中修复了多个与WebRTC有关的问题。

针对Android上的Firefox用户,Firefox 46也提供了一些更新。例如通知信息中列出的后台打开的标签页现在已经可以显示标签页的URL,自动补全功能可补全默认域名,并且Firefox现在可以在运行时申请权限。Firefox 46取消了对Android for Honeycomb的支持,并已停止支持Firefox Sync 1.1,开始推荐用户使用火狐账号(Firefox Accounts)。

针对Linux/GNU用户,Firefox 46提供了大家期待已久的针对GNOME和其他桌面环境的GTK3集成。

Firefox 46还为开发者提供了一个名为Dominators的内存工具新视图。

Dominators树“有助于帮您理解自己网站中为不同对象分配的‘保留大小’”,可显示保留内存最多的节点。

借此可以了解“节点内存保留大小的字节数或总占比”,“节点Shallow大小的字节数或总占比”,以及“节点的名称和内存地址”。

在Firefox 47中,Retaining Paths窗格可以为单一节点显示5个最短保留路径(Retaining path),这样就可以看到阻止特定节点被垃圾回收的所有节点。开发者可以通过保留路径了解哪些对象保留了对已泄漏对象的引用。

Firefox 46的完整改进清单可参阅发布说明

Mozilla欢迎新人加入Firefox项目,InfoQ读者可以通过多种方式为Firefox做贡献。各种可行方式的完整列表已发布在Mozilla开发者网络,此外Mozilla还提供了一系列参与方法指南。

作者:James Chesters
阅读英文原文Firefox 46 Tackles Security Issues, Improves Performance


感谢夏雪对本文的审校。

给InfoQ中文站投稿或者参与内容翻译工作,请邮件至editors@cn.infoq.com。也欢迎大家通过新浪微博(@InfoQ@丁晓昀),微信(微信号:InfoQChina)关注我们。

评价本文

专业度
风格

您好,朋友!

您需要 注册一个InfoQ账号 或者 才能进行评论。在您完成注册后还需要进行一些设置。

获得来自InfoQ的更多体验。

告诉我们您的想法

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我
社区评论

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

讨论

登陆InfoQ,与你最关心的话题互动。


找回密码....

Follow

关注你最喜爱的话题和作者

快速浏览网站内你所感兴趣话题的精选内容。

Like

内容自由定制

选择想要阅读的主题和喜爱的作者定制自己的新闻源。

Notifications

获取更新

设置通知机制以获取内容更新对您而言是否重要

BT