Veröffentlichung des Web-Browsers Chrome 122

Die Firma Google hat die Version 122 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht die stabile Version des Open-Source-Projekts Chromium zur Verfügung, das die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, einer Benachrichtigungssystem für Abstürze, Modulen zur Wiedergabe von kopiergeschützten Videoinhalten (DRM), einem automatischen Update-System, ständiger Sandbox-Isolierung, der Bereitstellung von Schlüsseln für die Google API und der Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Update benötigen, wird ein separater Extended Stable-Zweig unterstützt, der acht Wochen lang gepflegt wird. Die nächste Version von Chrome 123 ist für den 19. März geplant.

Die wichtigsten Änderungen in Chrome 122:

• In Übereinstimmung mit den Anforderungen des europäischen Gesetzes DMA (Digital Markets Act) wurde ein Bildschirm zur Auswahl der Standard-Suchmaschine in den Browser integriert. Zur Auswahl stehen Suchmaschinen, die im Abschnitt „chrome://settings/search“ verfügbar sind. Die Suchmaschinen in der Liste werden zufällig angezeigt.
• Auf die Seite «chrome://settings/security» wurde eine Einstellung hinzugefügt, die es ermöglicht, die JIT-Optimierer im JavaScript-Engine V8 zu deaktivieren. Das Deaktivieren von JIT kann die Sicherheit im Umgang mit potenziell riskanten Webanwendungen erhöhen, indem es mögliche Angriffsvektoren verringert.
• In der Android-Version wurde eine Funktion eingeführt, die es ermöglicht, Texte auf Web-Seiten laut vorlesen zu lassen. Der Lesemodus kann im Dropdown-Menü aktiviert und über die Standard-Wiedergabesteuerungstasten verwaltet werden. Die Funktion verwendet einen externen Dienst und sendet einen Link an Server Google, die die Sprachsynthese durchführen.
• Es werden weiterhin experimentelle Funktionen getestet, die maschinelles Lernen nutzen – einen intelligenten Tab-Gruppierungsmodus, einen Themen-Generator und einen interaktiven Assistenten, die bereits in der Ankündigung zur Veröffentlichung von Chrome 121 erwähnt wurden.
• Im Browser-Schutzmodus (Sichere Browsing) wird die Unterstützung für asynchron ausgeführte externe Prüfungen realisiert, die das Laden der überprüften Seite nicht blockieren. Die Überprüfungen in lokalen Listen erfolgen nach wie vor synchron, sodass die Seite erst nach deren Abschluss angezeigt wird, um den Benutzer vor der Verwendung von Exploits auf den Seiten zu schützen. Was Phishing betrifft, so ist es unwahrscheinlich, dass der Benutzer auf die Seite reagiert, bevor die externe Prüfung abgeschlossen und eine Warnung ausgegeben wurde.
• Der Text der Warnmeldungen wurde überarbeitet, die beim Versuch angezeigt werden, schädliche Dateien herunterzuladen, sowie für bereits heruntergeladene Dateien im Download-Manager.
• Es beginnt ein schrittweiser Übergang zur Ignorierung der "unload"-Ereignis-Handler, die eine effiziente Nutzung des Back-Forward-Caches (BFCache) verhindern. Dieser Cache sorgt für eine sofortige Navigation mit den Schaltflächen „Zurück“ und „Vorwärts“ oder beim Browsen durch zuvor besuchte Seiten derselben Website. Das Verhalten des Desktop-Chrome wird zunehmend dem mobiler Browser ähneln, die in den meisten Fällen kein "unload"-Ereignis auslösen und damit das Caching von Übergängen priorisieren. In Chrome 122 ist die Verarbeitung des "unload"-Ereignisses für 1 % der Nutzer deaktiviert.
• Im automatischen Ausfüllsystem für Zahlungsparameter wurde die Möglichkeit hinzugefügt, Sicherheitscodes (CVV/CVC) für lokale und Serverkarten zu speichern. Die Codes werden nach der Ausgabe einer Warnung und der ausdrücklichen Zustimmung des Benutzers gespeichert.
• Die API für Speicherkapazitäten wurde hinzugefügt, um erweiterte Funktionen für die Verwaltung der permanenten Datenspeicherung im lokalen System des Benutzers bereitzustellen. Die neue API ermöglicht es, die Datenspeicherung in separate Segmente zu unterteilen, die mit der API IndexedDB und CacheStorage verknüpft sind. Diese Segmente werden vom Browser unabhängig voneinander gelöscht, und den Benutzern wird die Möglichkeit gegeben, Prioritäten festzulegen, die steuern, welche Segmente zuerst gelöscht werden sollen. Auf diese Weise können wichtige Daten in hochpriorisierten Segmenten gespeichert werden, während sekundäre, die nicht so kritisch sind, in niedrigpriorisierten Segmenten abgelegt werden. Damit wird das Problem der Verlustgefahr wichtiger Daten bei Erschöpfung der verfügbaren Speicherkapazitäten, die über die API IndexedDB und localStorage bereitgestellt werden, angegangen.
• Im API Async Clipboard wurde die Option „unsanitized“ in der Methode read() hinzugefügt, die beim Kopieren aus der Zwischenablage und beim Einfügen verwendet wird. Wenn diese Option aktiviert ist, erhält die Anwendung den unveränderten HTML-Inhalt von Daten aus der Zwischenablage, ohne dass eine Bereinigung, Normalisierung oder Ersetzung gefährlicher Konstrukte erfolgt (zum Beispiel bleibt der Inhalt des Blocks „“ unverändert).
• CSS-Abfragen „@container“ werden nun nicht mehr ausgelöst, wenn nicht unterstützte Fähigkeiten angegeben sind. Beispielsweise funktioniert die Abfrage „@container (width > 0px) or (unknown) {}“ aufgrund des Ausdrucks „unknown“ nicht.
• In CSS ist die Definition von Bedingungen in Importregeln „@import … supports(…)“ nun erlaubt. Wird die Überprüfung nicht bestanden, erfolgt der Import nicht. Zum Beispiel kann für das Laden von Stilen bei der Einstellung von „animation-timeline“ auf „auto“ angegeben werden: ‘scroll-driven-animations.css @import „scroll-driven-animations.css“ supports(animation-timeline: auto);’.
• Die Logik zur Verarbeitung des Pseudo-Elements „::backdrop“ in CSS wurde überarbeitet und an die Anforderungen der aktualisierten Spezifikation angepasst. Jetzt erbt es Eigenschaften vom Quell-Element (früher hat „::backdrop“ keine Werte anderer Elemente geerbt, was den Zugriff auf in der Wurzel definierten Eigenschaften verhinderte).
• Die Funktion dataTransfer.clearData() ist jetzt nur auf Textobjekte beschränkt; diese Methode kann nicht mehr auf File-Objekte angewendet werden.
• In WebGL wurde die Funktion drawingBufferStorage hinzugefügt, die es ermöglicht, das Pixelformat für den Zeichenpuffer einzustellen. Dadurch kann der Inhalt direkt mit mehr als 8 Bits pro Farbkanal ausgegeben werden, was überflüssige Kopiervorgänge vermeidet, die zuvor zur Umwandlung in das standardmäßig verwendete Pixelformat erforderlich waren.
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen. Eine Unterstützung zur Anpassung des Farbschemas und zur Einhaltung des in der ausgewählten Browser-Thema festgelegten Stils wurde hinzugefügt.

  Die Funktionen des Dashboards zur Leistungsanalyse wurden erweitert. Jetzt gibt es in der Zeitachse die Möglichkeit, Ausführungsbereiche (Segmente auf der Zeitachse) zu speichern und zwischen ihnen zu wechseln.

  Im Haupt-Track (Leistung > Haupt) wurde die Anzeige von Ereignisauslösern hinzugefügt, die ihre visuelle Verbindung zu den ausgelösten Ereignissen zeigt.

  

  Im Dashboard zur Analyse der Netzwerkaktivität wird in der Spalte zum Status der Anfrageausführung die Ursache für Fehler angezeigt. Das Kontextmenü zum Kopieren von Links oder Inhalten der Anfrage wurde überarbeitet.

  

Neben den Neuerungen und Fehlerbehebungen in der neuen Version wurden 12 Sicherheitsanfälligkeiten behoben. Viele dieser Anfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Es wurden keine kritischen Probleme festgestellt, die alle Schutzebenen des Browsers umgehen und Code außerhalb der Sandbox-Umgebung ausführen könnten. Im Rahmen des Programms zur Belohnung von Sicherheitsforschern für die Entdeckung von Schwachstellen hat Google in dieser Version 8 Prämien in Höhe von insgesamt 28.000 US-Dollar vergeben (darunter eine Prämie in Höhe von 8.000, 7.000, 5.000, 3.000 und 2.000 US-Dollar sowie drei Prämien von jeweils 1.000 US-Dollar). Die höchsten Belohnungen wurden für einen Fehler in der Implementierung der Site-Isolation, die Entdeckung einer Buffer-Überlauf-Schwachstelle im Blink-Engine und den Zugriff auf bereits freigegebene Speicherplätze (Use-after-free) in der Mojo-Bibliothek vergeben.

Quelle: opennet.ru