أصدرت جوجل الإصدار 141 من متصفح الويب كروم. كما يتوفر إصدار مستقر من مشروع كروميوم مفتوح المصدر، وهو أساس كروم. يختلف كروم عن كروميوم في استخدامه لشعارات جوجل، ونظام إشعارات الأعطال، ووحدات تشغيل محتوى الفيديو المحمي بحقوق الطبع والنشر (DRM)، وتثبيت التحديثات تلقائيًا، وعزل بيئة الحماية الدائمة، وتوفير مفاتيح واجهة برمجة تطبيقات جوجل، وتمرير معلمات RLZ أثناء البحث. ولمن يحتاج إلى مزيد من الوقت للتحديث، يتم الاحتفاظ بفرع مستقر ممتد منفصل لمدة ثمانية أسابيع. ومن المقرر إصدار الإصدار التالي، كروم 142، في 28 أكتوبر.
التغييرات الرئيسية في Chrome 141:
- تم تفعيل روبوت الدردشة "جيميني" المدمج في المتصفح لبعض المستخدمين. بإمكانه شرح محتوى الصفحة المعروضة والإجابة على الأسئلة المتعلقة بها دون الحاجة إلى تغيير علامة التبويب الحالية. لتفعيل "جيميني"، تمت إضافة زر في الزاوية العلوية اليمنى من الشاشة. عند النقر عليه، يظهر مربع حوار يتيح للمستخدمين طرح الأسئلة بلغة طبيعية واختيار علامات التبويب التي ينبغي على الذكاء الاصطناعي أخذ محتواها في الاعتبار عند إنشاء الرد. يدعم الروبوت التواصل النصي والصوتي. هذه الميزة متاحة لمستخدمي الولايات المتحدة الذين لديهم إمكانية الوصول إلى تطبيق "جيميني" ويستخدمون المنصات. macOS، و iOS و Windows.
- تم تفعيل الحماية من الوصول إلى النظام المحلي (loopback، 127.0.0.0/8) أو الشبكة الداخلية (192.168.0.0/16، 10.0.0.0/8، إلخ) عند التفاعل مع مواقع الويب العامة. عند محاولة تحميل الموارد الداخلية، سيعرض المتصفح الآن مربع حوار يطلب التأكيد. يستخدم المهاجمون الوصول إلى الموارد الداخلية لتنفيذ هجمات CSRF على أجهزة التوجيه، ونقاط الوصول، والطابعات، وواجهات الويب الخاصة بالشركات، وغيرها من الأجهزة والخدمات التي تقبل الطلبات من الشبكة المحلية فقط. علاوة على ذلك، يمكن استخدام فحص الموارد الداخلية للتعريف غير المباشر أو لجمع معلومات حول الشبكة المحلية.
- بدأ الانتقال إلى نموذج عزل العمليات الأكثر تفصيلاً، "عزل المصدر"، حيث يكون كل مصدر محتوى (المصدر هو ربط بروتوكول، نطاق يتم عزل كل من "https://foo.example.com" و"المنفذ"، على سبيل المثال، في عملية عرض منفصلة. ونظرًا لأن زيادة دقة العزل قد تؤدي إلى زيادة استهلاك الذاكرة وحمل وحدة المعالجة المركزية، فإن وضع العزل الجديد مُفعّل فقط على الأنظمة التي تحتوي على أكثر من 4 جيجابايت من ذاكرة الوصول العشوائي (RAM). أما على الأجهزة ذات الطاقة المنخفضة، فسيستمر استخدام أسلوب العزل القديم، الذي يعزل جميع مصادر المحتوى المختلفة المرتبطة بموقع ويب واحد (على سبيل المثال، foo.example.com وbar.example.com) في عملية منفصلة. هذه الميزة مُفعّلة حاليًا لبعض المستخدمين، وسيتم توسيع نطاقها تدريجيًا.
- تم تفعيل سياسة "المصدر نفسه" لواجهة برمجة تطبيقات الوصول إلى التخزين. سيؤدي استدعاء "document.requestStorageAccess()" من الكود المُحمّل عبر إطار مضمّن من موقع آخر، افتراضيًا، إلى استهداف الموقع الذي تم تحميل الإطار المضمّن منه فقط، وليس الموقع المُستضيف له.
- تمت إضافة خوارزميات استدلالية للكشف عن اعتراض أو إعادة توجيه استعلامات البحث المُدخلة في شريط العناوين أو في الصفحة المعروضة عند فتح علامة تبويب جديدة إلى مواقع خارجية. يستخدم هذا النوع من الاعتراض من قِبل بعض الإضافات الخبيثة. يتم إجراء الفحص بمقارنة استعلامات المستخدم المُدخلة مع صفحة نتائج البحث التي تظهر. في حال اكتشاف استبدال في وضع التصفح الآمن، الخادم يتم إرسال بيانات القياس عن بعد إلى جوجل لإجراء تحليل أكثر تفصيلاً، مع الأخذ في الاعتبار بيانات القياس عن بعد من مختلف المستخدمين.
- في صفحة علامة التبويب الجديدة، تعرض اللوحة السفلية التي تعرض معلومات حول الوظائف الإضافية التي تؤثر على محتوى صفحة علامة التبويب الجديدة الآن معلومات حول الجهاز الذي تتم إدارته مركزيًا.
- في الأنظمة التي تحتوي على ملفات تعريف مستخدم مرتبطة بموفري مصادقة تابعين لجهات خارجية، تم تنفيذ القدرة على تنفيذ أوامر الإدارة عن بعد، مثل مسح ذاكرة التخزين المؤقت أو ملفات تعريف الارتباط.
- تُطبّق واجهة برمجة تطبيقات IndexedDB دالة getAllRecords()، التي تسترجع جميع السجلات من مخزن الكائنات (IDBObjectStore) والفهرس (IDBIndex). تجمع دالة getAllRecords() بين وظيفتي getAllKeys() وgetAll() لاسترجاع المفاتيح الأساسية والقيم المرتبطة بها. تتضمن دالتا getAll() وgetAllKeys() الآن معامل "اتجاه" لتحديد اتجاه استرجاع البيانات، مما يُسرّع بعض عمليات القراءة مقارنةً باستخدام المؤشرات.
- تمت إضافة واجهة برمجة التطبيقات "WebRTC Encoded Transform" لمعالجة بيانات الوسائط المشفرة المنقولة عبر RTCPeerConnection.
- تمت إضافة دعم لسمات "العرض" و"الارتفاع" للعناصر المتداخلة ، ويمكن التحكم في حجمه عبر ترميز CSS أو SVG.
- أُجريت تحسينات على أدوات مطوري الويب. أُضيف خادم تجريبي لبروتوكول سياق النموذج (MCP)، مما يسمح لمساعدي الذكاء الاصطناعي الخارجيين بالوصول إلى إمكانيات أدوات تطوير Chrome.
في وقت كتابة هذا التقرير، لم تكن هناك معلومات حول الثغرات الأمنية التي تم إصلاحها في الإعلان أو متعقب التغييرات.
تحديث: بعد يوم من الإصدار، كُشف عن معلومات حول إصلاح الثغرات الأمنية. يُصلح الإصدار 141 من كروم 21 ثغرة أمنية. تم تحديد العديد من هذه الثغرات من خلال اختبار آلي باستخدام AddressSanitizer وMemorySanitizer وControl Flow Integrity وLibFuzzer وAFL. لم يتم رصد أي مشاكل حرجة قد تسمح بتجاوز جميع طبقات حماية المتصفح وتنفيذ التعليمات البرمجية خارج بيئة الحماية. في إطار برنامج مكافآت الثغرات الأمنية للإصدار الحالي، منحت جوجل 12 مكافأة بقيمة إجمالية 50 دولار أمريكي (مكافأة واحدة لكل من 25000 دولار أمريكي، و5000 دولار أمريكي، و4000 دولار أمريكي، و2000 دولار أمريكي، وأربع مكافآت بقيمة 3000 دولار أمريكي، ومكافأتين بقيمة 1000 دولار أمريكي). لم يُحدد مبلغ كل مكافأة بعد.
المصدر: opennet.ru
