Společnost Google představila verzi webového prohlížeče Chrome 103. Současně je k dispozici stabilní verze svobodného projektu Chromium, který tvoří základ Chrome. Prohlížeč Chrome se od Chromia liší použitím logotypů Google, systémem zasílání oznámení v případě pádu, moduly pro přehrávání chráněného videa (DRM), automatickým systémem aktualizací, trvalým zapnutím izolace Sandbox, dodávkou klíčů k API Google a přenášením RLZ parametrů při vyhledávání. Pro ty, kteří potřebují více času na aktualizaci, je k dispozici samostatná větev Extended Stable, která je podporována po dobu 8 týdnů. Další verze Chrome 104 je plánována na 2. srpna.
Hlavní změny v Chrome 103:
- Byl přidán experimentální editor obrázků, který se spouští pro úpravy screenshotů stránek. Editor nabízí funkce jako ořezávání, výběr oblasti, malování štětcem, výběr barev, přidávání textových popisků a zobrazení standardních tvarů a primitiv, jako jsou čáry, obdélníky, kruhy a šipky. Pro aktivaci editoru je nutné zapnout nastavení „chrome://flags/#sharing-desktop-screenshots“ a „chrome://flags/#sharing-desktop-screenshots-edit“. Po vytvoření screenshotu prostřednictvím menu Sdílet v adresním řádku, se do editoru dostanete kliknutím na tlačítko „Upravit“ na stránce s náhledem screenshotu.
- Rozšířily se možnosti mechanismu pro předběžné vykreslování (prerender), který byl přidán do Chrome 101, pro obsah doporučení v adresním řádku Omnibox. Předběžné vykreslování doplňuje dříve dostupnou funkci načítání nejpravděpodobnějších doporučení, aniž by čekalo na kliknutí uživatele. Kromě načítání může být obsah stránek souvisejících s doporučeními nyní vykreslován v bufferu (včetně provádění skriptů a tvorby DOM stromu), což umožňuje okamžité zobrazení doporučení po kliknutí. Pro správu předběžného vykreslování byly navrženy možnosti „chrome://flags/#enable-prerender2“, „chrome://flags/#omnibox-trigger-for-prerender2“ a „chrome://flags/#search-suggestion-for-prerender2“.
Ve Chromu 103 pro Android byl přidán API Speculations Rules, který umožňuje tvůrcům webových stránek předávat prohlížeči informace o nejpravděpodobnějších stránkách, na které může uživatel přejít. Prohlížeč tuto informaci využívá k předběžnému načítání a vykreslování obsahu stránek.
- Ve verzi pro Android byl zaveden nový správce hesel, který nabízí stejný jednotný rozhraní pro správu hesel, jaké se používá pro aplikace Android.
- Do verze pro Android byla přidána podpora služby 'With Google', která umožňuje uživatelům vyjádřit vděčnost oblíbeným webům, registrovaným v této službě, přenosem placených nebo bezplatných digitálních nálepek. Služba je zatím dostupná pouze pro uživatele ve Spojených státech.
- Bylo zlepšeno automatické vyplňování polí s čísly kreditních a debetních karet, které nyní podporuje karty uložené prostřednictvím Google Pay.
- Ve verzi pro Windows je standardně aktivován integrovaný DNS klient, který se rovněž používá ve verzích pro macOS, Android a Chrome OS.
- Byl stabilizován a nabízen všem zájemcům API Local Font Access, díky němuž lze určit a využívat písma nainstalovaná v systému, a také manipulovat s písmy na nízké úrovni (například filtrovat a transformovat glify).
- Byla přidána podpora kódu HTTP odpovědi 103, který umožňuje informovat klienta o obsahu některých HTTP hlaviček ihned po žádosti, aniž by se čekalo, až server provedou všechny operace související se žádostí a zahájí odesílání obsahu. Tímto způsobem lze poskytovat informace o prvcích souvisejících s odesílanou stránkou, které mohou být předběžně načteny (například mohou být uvedeny odkazy na CSS a JavaScript používané na stránce). Jakmile prohlížeč obdrží informace o těchto prostředcích, může začít s jejich načítáním, aniž by čekal na dokončení odesílání hlavní stránky, což umožňuje zkrátit celkovou dobu zpracování žádosti.
- V režimu Origin Trials (experimentální funkce, které vyžadují samostatnou aktivaci) bylo zahájeno testování API Federated Credential Management (FedCM) zatím pouze ve verzích pro platformu Android. To umožňuje vytvářet sjednocené identifikační služby, které zajišťují ochranu soukromí a fungují bez mechanismů mezisíťového sledování, jako je zpracování třetích stran Cookie. Origin Trial umožňuje používat uvedené API z aplikací stažených z localhost nebo 127.0.0.1, nebo po registraci a získání speciálního tokenu, který platí omezenou dobu pro konkrétní web.
- V API Client Hints, vyvíjeném jako náhrada za záhlaví User-Agent a umožňující selektivně poskytovat údaje o konkrétních parametrech prohlížeče a systému (verze, platforma atd.) pouze po žádosti, serverem, byla přidána možnost substituce v seznamu identifikátorů prohlížečů fiktivními názvy podle vzoru použitého v TLS mechanismu GREASE (Generate Random Extensions And Sustain Extensibility). Například kromě ‘»Chrome»; v=»103″‘ a ‘»Chromium»; v=»103″‘ může být do seznamu přidán náhodný identifikátor neexistujícího prohlížeče ‘»(Not;Browser»; v=»12″‘. Taková substituce umožní odhalit problémy s zpracováním identifikátorů neznámých prohlížečů, které nutí alternativní prohlížeče předstírat, že jsou jinými populárními prohlížeči, aby obcházely kontrolu podle seznamů povolených prohlížečů.
- Soubory ve formátu obrázků AVIF byly přidány na seznam povolených pro sdílení přes API iWeb Share.
- Byla přidána podpora formátu komprese „deflate-raw“, který umožňuje přístup k holému komprimovanému toku bez hlaviček a závěrečných služebních bloků, což lze použít například pro čtení a zápis zip souborů.
- Pro prvky webových formulářů byla poskytnuta možnost použití atributu „rel“, což umožňuje aplikovat na navigaci přes webové formuláře parametr „rel=noreferrer“ pro zákaz předávání hlavičky Referer nebo „rel=noopener“ pro zákaz nastavení vlastnosti Window.opener a zabránění přístupu k kontextu, ze kterého bylo přesměrování provedeno.
- Implementace události popstate byla sladěna s chováním Firefoxu. Událost popstate je nyní generována ihned po změně URL bez čekání na událost načtení.
- Pro stránky otevřené bez HTTPS a z bloků iframe je zakázán přístup k API Gamepad a API Battery Status.
- Do objektu SerialPort byla přidána metoda forget(), která se vzdává dříve udělených práv uživatelem pro přístup k sériovému portu.
- Do CSS vlastnosti overflow-clip-margin byl přidán atribut visual-box, který určuje, odkud by mělo začít oříznutí obsahu přesahujícího hranice oblasti (může mít hodnoty content-box, padding-box a border-box).
- Ve blocích iframe s atributem sandbox je zakázáno volání externích protokolů a spuštění externích aplikací-zpracovatelů. Pro zrušení této restrikce je třeba použít vlastnosti allow-popups, allow-top-navigation a allow-top-navigation-with-user-activation.
- Podpora elementu byla ukončena, neboť ztratila smysl po ukončení podpory pluginů.
- Byly provedeny vylepšení nástrojů pro webové vývojáře. Například v panelu Styles se nově objevila možnost definice barvy bodu mimo okno prohlížeče. Bylo vylepšeno náhled parametrů v ladicím nástroji. Přidána možnost měnit pořadí panelů v rozhraní Elements.
Kromě novinek a oprav chyb v nové verzi bylo odstraněno 14 zranitelností. Mnoho z nich bylo odhaleno pomocí automatizovaného testování nástroji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Jedné z problematik (CVE-2022-2156) byla přiřazena kritická úroveň nebezpečí, která zahrnuje možnost obcházení všech úrovní ochrany prohlížeče a vykonání kódu v systému mimo sandboxové prostředí. Podrobnosti ohledně této zranitelnosti zatím nejsou zveřejněny, je známo jen to, že byla způsobena přístupem k uvolněnému bloku paměti (use-after-free).
V rámci programu na vyplácení finančních odměn za odhalení zranitelností pro aktuální verzi společnost Google vyplatila 9 odměn v celkové výši 44 tisíc dolarů (jedna odměna $20000, jedna odměna $7500, jedna odměna $7000, dvě odměny $3000 a jedna odměna ve výši $2000, $1000 a $500). Částka odměny za kritickou zranitelnost zatím nebyla určena.
Zdroj: opennet.ru
