Firefox 100、Windows 7 では KB4474419 が必要

2022年4月4日 13:32

headless 曰く、

Mozilla が現在 Nightly ビルドで提供している Firefox 100 のリリースノートで、Windows 7 環境で使用するには更新プログラム KB4474419 のインストールが必要だと説明している (Softpedia の記事、 Ghacks の記事)。

このリリースから Windows 版インストーラーが SHA-1 ではなく SHA-256 (SHA-2) で署名されるようになったためだという。そのため、SHA-2 サポートを Windows 7 / Server 2008 に導入する更新プログラム KB4474419 をインストールしておく必要があるということだ。ただし、この更新プログラムは 2019 年にリリースされたものであり、多くの環境で導入済みとみられる。

Mozilla 曰く、Microsoft は既定のブラウザー設定でもっと改善できるところがある

スラド

著者: headless

2022年4月2日 19:39

Microsoft は Windows 11 で既定の Web ブラウザーの設定を容易にする設定項目を追加したが、Mozilla はまだまだ不満なようだ (Neowin の記事、 On MSFT の記事、 Softpedia の記事、 Windows Central の記事)。

この設定項目は先日オプションの更新プログラムとして一般提供が始まった累積更新プログラムのプレビュー (KB5011563、ビルド 22000.593) をインストールすることで利用可能になる。ただし、Windows 10 の既定のプログラム設定のように「音楽プレイヤー」「フォトビューアー」「Webブラウザー」といった種類別に一括して既定値を設定するのではなく、アプリの設定ページを開いて設定するため少し手間がかかる。

Mozilla は設定方法の変更を正しい方向だとしつつ、ユーザーが簡単に既定値を選択できるようにすることや、開発者が容易に既定値の設定機能を組み込めるようにすることなど、既定のブラウザーの選択を尊重するためにできることがもっとあるはずだと指摘する。具体的には設定に必要な手順の数を減らすこと、Microsoft のアプリが既定のプログラム設定に使用する API を他のアプリにも開放することを挙げている。

UIはChromeに近いFirefoxベースのウェブブラウザ「Floorp(フロープ)」

スラド

著者: nagazou

2022年3月30日 06:14

Firefox派生のブラウザ「Floorp（フロープ）」というものがあるそうだ。ナポリタン寿司のPC日記の記事によれば、Firefoxベースではあるが、UIはChromeに近いものとなっており、Chromeユーザーが移行しやすいといった点やFirefox Syncが利用できるためFirefoxと同期できる、国産ブラウザなので日本語がまとも、Google翻訳が標準搭載などの特徴があるブラウザであるとのこと。もともとはChromiumベースだったものがFirefoxベースに変更される形で2021年12月に正式リリースされた。ベースが変更されたことにより、それまでとは別物になっているという。このブラウザは開発は日本人の学生が行っているそうで、本家Firefoxの優れた点を引き継ぎつつも独自機能を盛り込んでいるとのこと（Floorp プロジェクトTwitter、ナポリタン寿司のPC日記）。

すべて読む | ITセクション | Firefox | IT |

Mac Studio のストレージはアップグレード可能か

スラド

著者: nagazou

2022年3月24日 07:05

headless 曰く、

Apple は Mac Studio のカスタマイズページで「ストレージにユーザーがアクセスすることはできません。将来さらに多くの容量が必要になると考えられる場合は、より大きな容量で構成することを検討してください。」と説明しているが、ハードウェア的に取り外し・追加可能な構造にはなっていることが分解リポートで判明している (The Verge の記事、 9to5Mac の記事)。

しかし、ソフトウェア的な問題もクリアする必要があり、単に追加しただけでは動作しないようだ。増設実験の動画では内部にある2つの SSD スロットのうち、空きスロットに別の Mac Studio から取り外した SSD を接続しているが、電源を入れてもパイロットランプが点滅するだけでブートしない。

実際に利用可能な状態にするには、SSD の追加後にファームウェア (IPSW) リストアを実行する必要があるという。ただし、追加する SSD は同容量・同メーカー製のものが必要とのことだ (Mac Rumors の記事、 Wccftech の記事)。

PayPay銀行がMozilla Firefoxのサポート終了を発表、理由は今のところ不明

スラド

著者: nagazou

2022年3月22日 18:02

PayPay銀行のお知らせによると、同社では3月25日からFirefoxを推奨環境の対象外とすることを発表した。対象外となると画面が正しく表示されなくなる可能性があるとしてMicrosoft EdgeもしくはGoogle Chromeへの切り替えを行うように求めている。加えてInternet Explorer 11.0についても、近日中に推奨環境の対象外となる予定であることも告知されている（PayPay銀行）。

窓の杜の記事では、IE 11はMicrosoftのサポート終了タイミングである6月15日まで利用可能なのに対してFirefoxが直近でサポートが打ち切られることに疑問を呈する記事を掲載している（窓の杜）。

すべて読む | ITセクション | Firefox | IT |

Mozilla、Firefoxで検索エンジンのオプションからMail.ruとYandexを削除

スラド

著者: nagazou

2022年3月17日 07:05

headless 曰く、

日本語版には以前から含まれていなかったようだが、Firefox 98.0.1 のリリースノートでオプションの検索エンジンから Mail.ru と Yandex を削除したと記載されている (リリースノート、 Neowin の記事)。

パートナーが配布しているカスタマイズ版 Firefox で Mail.ru や Yandex が含まれていた場合でも、本バージョンに更新すると削除されるとのこと。

ただし、実際に削除されたのは Firefox 98.0 のようだ。ロシア語版の Firefox で Mail.ru と Yandex が含まれていたのは 97.0.2 までで、98.0には含まれない。削除理由は特に説明されていないが、98.0 のリリースノートでは、特定の検索エンジンの正式な (収録) 許可が得られなかったため、既定の検索エンジンが変更される可能性があると説明されていた。

uBlock Origin、最もユーザー数の多い Firefox 拡張機能に

スラド

著者: nagazou

2022年3月15日 08:01

headless 曰く、

uBlock Origin が Mozilla のアドオンサイト addons.mozilla.org (AMO) で最もユーザー数の多い Firefox 拡張機能となった (Ghacks の記事)。

Firefox 拡張機能では長らく Adblock Plus のユーザー数が最も多く、Internet Archive のスナップショットをみると 2018 年 12 月には 1,100 万人を超えていた。しかし、最近は減少傾向が続いており、現在は 554 万人程度にとどまる。一方 uBlock Origin のユーザー数はこの数年 500 万人前後で推移しており、現在は 557 万人程度となっている。

なお、Chrome ウェブストアでは uBlock Origin も Adblock Plus もユーザー数は 10,000,000+ 人となっており、どちらが多いのか確認できない。

Firefox 97.0.2 リリース、2 件のゼロデイ脆弱性を修正

スラド

著者: headless

2022年3月6日 19:43

Mozilla は 5 日、Firefox 97.0.2 および Firefox ESR 91.6.1、Firefox for Android 97.3.0、Focus 97.3.0 をリリースした (セキュリティアドバイザリー 2022-09、 Neowin の記事、 Ghacks の記事)。

これらのリリースでは深刻度「緊急」の Use-After-Free (UAF) 脆弱性が 2 件修正されている。CVE-2022-26485 は XSLT パラメーター処理に存在する脆弱性で、悪用するとリモートからのコード実行が可能となる。CVE-2022-26486 は WebGPU IPC フレームワークに存在する脆弱性で、悪用するとサンドボックス迂回が可能になる。いずれの脆弱性も既にアクティブな攻撃が確認されているとのことだ。

Firefox、Pixar の新作映画とのタイアップで 6 色のカラーテーマを期間限定で提供

スラド

著者: headless

2022年2月19日 11:58

Mozilla が Pixar・Disney とタイアップし、Firefox のカラーテーマ 6 色を期間限定で提供している (The Mozilla Blog の記事、特設サイト、 Neowin の記事、動画)。

この企画は興奮すると巨大レッサーパンダに変身してしまう 13 歳の女の子が主人公の新作アニメーション映画「Turning Red (邦題: 私ときどきレッサーパンダ)」の Disney+ 限定公開に合わせたものだ。Mozilla は Firefox の由来がレッサーパンダであることのほか、初期のバージョンが作られた 2002 年が映画の舞台となっていることを企画理由に挙げている。なお、Disney の作品紹介ページ英語版掲載のポスターでは学生証に「2002-2003」と書かれているが、日本語版ポスターには年の記載がなく、日本向けの Disney+では 1990 年代が舞台と説明されている。

6 色のカラーテーマは赤 (Rawrrr!)・オレンジ (That's So Fire)・緑 (Vegging Out)・黄色 (Cheese Puff)・紫 (Bomb-dot-com)・青 (Chillaxing)となっており、赤のレッサーパンダとオレンジの主人公メイなど、各色が登場人物に割り当てられている。カラーテーマは Firefox のアドオンマネージャーで設定するほか、特設サイトで設定することも可能だ。映画のリリース日は 3 月 11 日。カラーテーマは 4 月 30 日まで使用可能とのこと (Firefox 97.0 リリースノート)。

Firefoxが1月13日に一時使用不能になった問題の詳細が判明

スラド

著者: nagazou

2022年2月8日 14:07

1月13日に世界中の「Firefox」が約2時間ほど一時的に使用不能になった。原因に関してはHTTP3接続に関する問題が誘発されたとされていたが、このとき、Firefoxに何が起きたかについて、2月2日のMozillaの公式ブログで解説が行われている。それによるとMozilla側は原因の解明過程で、Firefoxの内部サービスの一つへのネットワーク要求でハングアップが起こっていることが判明したという。そのことから、ロードバランシングに使用しているクラウドプロバイダーの1社の設定変更が原因ではないかと推測（Mozilla Hacks - the Web developer blog、窓の杜）。

さらに調査を進めた結果、テレメトリサービスのロードバランサ―で、それまでは行われていなかったHTTP/3接続が行われていたことが判明し、「Google Cloud Platform（GCP）」上でHTTP/3を明示的に無効化したところ、ユーザーのブロックが解除されたという。GCPのHTTP/3サポートを自動（既定）にしていたところ、1月13日07:28（協定世界時）に告知なく有効化されていたことが判明したとのこと。

Firefox 96で一時接続障害。原因はHTTP3のバグ

スラド

著者: ogino (posted by nagazou)

2022年1月18日 08:04

Firefoxで13日、午後4時50分ごろからパフォーマンスが著しく低下したり、Webサイトが開けなくなる問題が発生、各所で騒ぎになっていたという。公式Twitterによれば、クラウドプロバイダー側のデフォルト設定の変更により、HTTP3接続に関する問題が誘発されたのだそうだ。特定条件下でヘッダーの解析処理が無限ループに陥る問題も生じていた模様（Firefox公式Twitter、Mozilla、窓の杜、ITmedia）。

Mozillaは翌14日、こうした不具合に対処したメンテナンスアップデートv96.0.1を公開した。修正点は2点あり、HTTP3接続に関するトラブルに対処するためcontent-lengthヘッダーの解析処理を改善。このほかWindows版「Firefox」で［システムのプロキシ設定を使用する］オプションを有効化している場合に、プロキシルールの例外が機能しない不具合に対処したとしている（Firefoxサポート公式Twitter、窓の杜、ITmedia）。

すべて読む | ITセクション | Firefox | バグ |

Firefoxからmicrosoft.comに接続できないトラブル、最新版v95.0.1で解消

スラド

著者: nagazou

2021年12月20日 14:05

一時期「Firefox」でMSDN関連などMicrosoftのWebサイトが開けない不具合が発生していた。該当サイトへアクセスすると「接続中にエラーが発生しました」という表示が出ていた（令和の知恵袋、窓の杜）。

この問題に関してMozillaは16日、最新版v95.0.1を正式公開して対策を行った。トラブルの原因はFirefox側が証明書が失効してないかをリアルタイムで確認するOCSPの実装が遅れていたのが原因。窓の杜の記事によれば、Microsoftの一部ドメインではOCSPステープリングがアップデートされたことで問題が表面化したとしている（Firefox Release 95.0.1、窓の杜）。

すべて読む | ITセクション | Firefox | IT |

4 件の脆弱性を修正した X.Org Server 21.1.2、ディスプレイの物理 DPI を報告する機能が廃止に

スラド

著者: headless

2021年12月19日 13:48

15 日に公開された X.Org Server 21.1.2 では最近報告された 4 件の脆弱性が修正されたほか、実際に接続されたディスプレイの物理DPIを報告する機能が廃止になっている (Phoronix の記事、メーリングリストでのアナウンス)。

リバートされたのは DRM コネクターから得たディスプレイの物理サイズをプログラムへ伝える機能で、X.Org Server 21.1.0 で追加されたものだ。しかし、あまりに破壊的な変更だったことから廃止し、常に 96 DPI と報告する方式へ戻したとのこと。

Firefox 95 リリース、新しいサンドボックス技術 RLBox が全プラットフォームで有効に

スラド

著者: nagazou

2021年12月8日 16:27

headless 曰く、

Mozilla は 7 日、Firefox 95.0 をリリースした (リリースノート、 Mozilla Hacks の記事、 The Verge の記事、 Phoronix の記事)。

本バージョンでは「RLBox」と呼ばれる新しいサンドボックス技術が全プラットフォームで有効化されている。すべてのメジャーブラウザーは Web コンテンツをサンドボックス内で実行し、ブラウザーに脆弱性があってもコンピューターには影響を与えないようにしている。しかし、サンドボックス内のプロセスに影響を与える脆弱性とサンドボックスを迂回可能な脆弱性を組み合わせた攻撃もしばしば発生しており、さらなる保護の仕組みが必要となる。

次のステップとしては機能の境界でプロセスを分離することだが、パフォーマンスへの影響が大きい。そのため、RLBox ではコードを個別のプロセスに分離するのではなく、まず WebAssembly にコンパイルし、そこからさらにネイティブコードにコンパイルする。これにより、対象のコードはプログラムの予期しない部分へジャンプすることや、指定された領域外のメモリーにアクセスすることができなくなる。その結果、信頼されるコードと信頼されないコードの間で安全にアドレス空間を共有可能になるとのこと。

RLBox のプロトタイプは既に Firefox 74 で Linux ユーザーに、Firefox 75 で Mac ユーザーに提供されていた。Firefox 95 ではデスクトップおよびモバイルのサポートされるすべてのプラットフォームで有効化され、Graphite / Hunspell / Ogg の3つのモジュールを分離するとのことだ。

Firefox ユーザーが誤って GitHub にアップロードしたとみられる cookie データベース数千件が見つかる

スラド

著者: nagazou

2021年11月22日 13:34

headless 曰く、

数千人の Firefox ユーザーが誤ってアップロードしたとみられる Firefox の cookie データベースファイル「cookies.sqlite」が GitHub の公開リポジトリで見つかったそうだ (The Register の記事)。

発見した英国の列車・長距離バス予約アプリ Trainline のセキュリティエンジニア Aidan Marlin 氏は問題を HackerOne で報告したが、GitHub からはユーザーが自ら公開した認証情報は脆弱性報告報奨金プログラムの対象にならないと言われたうえ、公表も自由にしていいと言われたため、怒って The Register にタレ込んだらしい。

Marlin 氏は個人情報が関わっていることから英情報コミッショナーオフィス (ICO) にも報告したといい、誤ってデータベースをアップロードしたユーザーの責任ではあるものの、個人情報を含むファイルが 4,500 件近く見つかっている以上、GitHub も何らかの対応をすべきだと主張する。

GitHub ではユーザーが誤ってアップロードしたクラウドの認証情報をスキャンし、公開リポジトリで見つかった場合は該当のクラウドプロバイダーに通知して失効させるサービスを 2015 年から行っている。クラウドの認証情報とは異なるものだが、The Register では Firefox の cookie データベースもスキャン対象に追加すべきだと述べている。

Mozilla Firefox、Windows 10 / 11 の Microsoft Store で入手可能に

スラド

著者: nagazou

2021年11月11日 14:02

headless 曰く、

Mozilla は 9 日、Windows 10 / 11 の Microsoft Store で Firefox が入手可能になったことを発表した (The Mozilla Blog の記事、 Microsoft Store のアプリ情報ページ、 Neowin の記事、 On MSFT の記事、 Windows Central の記事)。

Microsoft StoreではChromiumまたはGeckoオープンソースエンジンを採用するブラウザーの提供を可能にするポリシー改訂が7月に行われ、Windows 11 の Microsoft Store では Microsoft Edge のほか、Opera や Yandex といったブラウザーが提供されている。

しかし、これらのブラウザーが Win32 アプリをストア経由でインストールするだけなのに対し、Microsoft Store 版の Firefox は MSIX パッケージであり、インストール先もプロファイルの保存先も Win32 版とは別の場所になる。そのため、Mozilla では Microsoft Store 版の Firefox について、Windows 10 / 11 の Windows Store (Microsoft Store) で入手可能な初のメジャーブラウザーと表現している。

なお、Microsoft Store では Firefox の存在が 10 月に確認されていたが、Microsoft Store アプリから直接インストールすることはできなかった。現在は Windows 10 / 11 ともに直接インストール可能になっている。

アプリのサイドローディングに対する Apple の主張、iOS と Mac で矛盾しているとの指摘

スラド

著者: headless

2021年11月7日 13:45

Apple のクレイグ・フェデリギ氏がアプリのサイドローディングを「サイバー犯罪者の一番の友達」などと批判したことについて、9to5Mac が Apple の矛盾を指摘している (9to5Mac の記事)。

フェデリギ氏の発言は Web Summit 2021 の基調講演で飛び出したもの。近年、Apple の App Store による iOS アプリ市場独占に対する圧力が強まっており、アプリストアを経由せずにユーザーが直接アプリをインストールするサイドローディングを可能にすることも要求されている。

フェデリギ氏は iPhone に対するマルウェアなどの攻撃が Android とは比べ物にならないほど少ないと繰り返し、iPhone を強固なセキュリティシステムを備えた家に例えて、法律がそのセキュリティにサイドローディングという大きな穴を開けさせようとしているなどと主張した。

しかし、Mac では常にサイドローディングが可能であり、Apple は「公証」の仕組みを導入して安全なアプリ配布を可能にしている。Apple の公証を受けたマルウェアも発見されているが、Apple は Mac が Windows よりも安全だと主張している。

5 月にフェデリギ氏は Epic Games との裁判で証言し、Mac アプリのマルウェア存在レベルは許容範囲を超えていると述べた。また、Mac を運転に責任が伴う自動車に例える一方で、iOS デバイスは子供が安全に操作できるまったく異なる製品だとも述べている。

9to5Mac の記事では、いろいろなことを言っても最終的な決定はお金が基準になるのだと結論付けている。

Apple、一部の Intel Mac を文鎮化する macOS Monterey アップデートのバグを修正

スラド

著者: headless

2021年11月6日 15:32

Apple が一部の Intel Mac を文鎮化する macOS Monterey アップデートのバグを修正したそうだ (Rene Ritchie 氏のツイート、 Ars Technica の記事、 9to5Mac の記事、 Mac Rumors の記事)。

Apple が Rene Ritchie 氏に提供した声明によると、問題は T2 セキュリティチップのファームウェアに存在し、ファームウェアのアップデート後に一部の T2 チップ搭載 Mac が起動しなくなったのだという。ファームウェアの問題は既に修正され、既存の macOS アップデートに含まれているそうだ。この問題で影響を受けたユーザーは Apple のサポートに問い合わせてもいいとのこと。

M1 MacにThunderbolt 3接続のディスプレーを接続すると外付けSSDの速度が向上する

スラド

著者: nagazou

2021年11月5日 06:07

ASCIIの記事によると、M1 MacにThunderbolt 3（TB3）接続のディスプレーを接続した場合、外付けSSDの速度が向上するのだそうだ（Samsung SSD × ASCII）。

この記事はSNSなどで出回っていた噂を検証したもので、M1 MacのUSB4ポートに直接外付けSSDを接続した状態やTB3ディスプレーを介して外付けSSDを接続した状態といった4パターンの条件で計測したそうだ。具体的な数値等に関しては元記事を読んで欲しいが、結論としてはTB3の外付けディスプレー接続時に、外付けSSDの速度が向上することが確認できたとしている。記事ではM1 MacのTB3では通常は帯域が制限されており、TB3接続の外付けディスプレーを接続すると帯域が広がるのではとする仮説を立てている。

すべて読む | アップルセクション | MacOSX | アップル |

Microsoft が発見した macOS の脆弱性「Shrootless」

スラド

著者: headless

2021年10月31日 17:31

Apple が先日修正した macOS の脆弱性 (CVE-2021-30892) について、発見者の Microsoft が解説している (Microsoft Security Blog の記事、 Neowin の記事、 Ars Technica の記事、 The Register の記事)。

Microsoft が「Shrootless」と呼ぶこの脆弱性は、攻撃者が Mac のシステム整合性保護 (SIP) をバイパスして任意コードの特権実行が可能になるというもの。SIP は非常に強力だが、システムアップデートなど特定のケースではバイパスが必要となるため、Apple はいくつかのエンタイトルメントを用意している。中でも com.apple.rootless.install と com.apple.rootless.install.inheritable は強力で、前者は SIP によるファイルシステムチェックを完全にバイパスし、後者は前者を子プロセスに継承する。

Shrootless 脆弱性はcom.apple.rootless.install.inheritable エンタイトルメントを持つ system_installd デーモンにより引き起こされる。system_installd はApple の署名入りパッケージ (.pkgファイル) をインストールする際に呼び出され、パッケージがポストインストールスクリプトを含む場合、デフォルトシェル zsh を呼び出してスクリプトを実行する。

zsh は起動時に /etc/zshenv ファイルを探し、見つけたらファイル内のコマンドを自動で実行するため、攻撃者は攻撃用のコマンドを記述した zshenv ファイルを作成して待っていればいい。各ユーザープロファイルの ~/.zshenv は zshenv と同じ動作をし、書き込みに特権が必要ないため、より容易な攻撃が可能になるとのこと。

Shrootless 脆弱性は 10 月 25 日リリースの macOS Monterey 12.0.1 / Big Sur 11.6.1 / 2021-007 Catalina で修正されている。

リーディングビュー