Release von Chrome 146. Offizielle Linux-Builds von Chrome für ARM64 wurden angekündigt.

Das Unternehmen Google hat die Version 146 des Web-Browsers Chrome veröffentlicht. Gleichzeitig steht die stabile Version des freien Projekts Chromium zur Verfügung, das die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein Benachrichtigungssystem im Falle eines Absturzes, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, ständige Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google API und die Übermittlung von RLZ-Parametern bei der Suche. Für Benutzer, die mehr Zeit für das Update benötigen, wird zusätzlich ein Extended Stable-Zweig unterstützt, der 8 Wochen lang betreut wird. Die nächste Version Chrome 147 ist für den 7. April geplant.

Zudem kündigte das Unternehmen Google die Veröffentlichung offizieller Chrome-Builds für Linux-Systeme auf ARM64-Architektur an. Die Linux-Builds für ARM64 werden im zweiten Quartal 2026 erstellt und in deb- und rpm-Paketen verfügbar sein. Zuvor wurden offizielle Chrome-Builds für Linux nur für die x86_64-Architektur veröffentlicht, während für die ARM64-Architektur nur Drittanbieter-Builds von Chromium angeboten wurden. Die offizielle Version von Chrome unterscheidet sich durch die Unterstützung der Verbindung zu einem Google-Konto, die Integration von Google-Diensten, die Synchronisierung von Daten zwischen Geräten, die vereinfachte Installation von Erweiterungen aus dem Chrome Web Store und die Möglichkeit, den erweiterten Schutzmodus zu aktivieren.

Haupänderungen in Chrome 146:

• Für einen Teil der Benutzer wurde der Mechanismus der selektiven Berechtigungen (Selective permission intervention) aktiviert, der den Zugriff von JavaScript-Skripten, die mit Werbung in Verbindung stehen, auf Funktionen, die die Privatsphäre betreffen, wie z. B. den Zugriff auf Standortdaten, Mikrofon, Zwischenablage, Bluetooth, USB, serielle Ports und Bildschirmaufzeichnung, blockiert. Die Idee dahinter ist, dass, wenn ein Benutzer einer Seite den Zugang zu solchen Möglichkeiten erlaubt hat, diese Berechtigungen nicht für die auf dieser Seite hostenden Drittanbieterskripte gelten, die von anderen Seiten geladen werden (entweder isoliert über das Tag iframe oder direkt über das Tag script).
• Die Struktur der sicherheitsrelevanten Einstellungen wurde geändert. Um den Benutzern die Auswahl zwischen einem Standard- und einem erweiterten Schutzniveau zu erleichtern, wird es ermöglicht, das gewünschte Sicherheitsniveau zu erreichen, ohne sich mit den Details und erweiterten Optionen auseinandersetzen zu müssen. Bei der Auswahl des erweiterten Modus wird zusätzlich eine Überprüfung der URL und des Inhalts durchgeführt. Servern Google zeigt Warnungen für ungesicherte Verbindungen an und die Performance von für den Benutzer untypischen Seiten wird verlangsamt, um Angriffe zu blockieren. Auf Wunsch kann der Benutzer zu dem alten Schema der getrennten Konfiguration jeder Einstellung zurückkehren. Zum Steuern der Aktivierung des neuen Designs der Sicherheitseinstellungen wird der Parameter „chrome://flags/#bundled-security-settings“ angeboten.
• Die Entwicklung des KI-Modus wurde fortgesetzt, der es erlaubt, über die Adresszeile oder die Seite, die beim Öffnen eines neuen Tabs angezeigt wird, mit einem KI-Agenten zu interagieren. Der KI-Modus ermöglicht es, komplexe Fragen in natürlicher Sprache zu stellen und Antworten auf Basis von Informationen von den relevantesten Seiten zu einem bestimmten Thema zu erhalten. Bei Bedarf kann der Benutzer mit gezielten Fragen weitere Informationen anfordern. Der Modus erlaubt es auch, Fragen zu den Inhalten einer Seite direkt aus der Adresszeile zu stellen. In Chrome 146 wurde die Möglichkeit implementiert, Dateien aus Google Drive als Kontext für den KI-Agenten zu nutzen.
• Im Modus zur automatischen Ausfüllung von Feldern wird die Nutzung zusätzlicher Datentypen ermöglicht, die zuvor nur im erweiterten Autovervollständigungsmodus verfügbar waren.
• Es hat mit der schrittweisen Aktivierung des Schutzes gegen Zugriffe auf das lokale System bei der Interaktion mit öffentlichen Websites begonnen. Zugriffe von Websites auf IP-Adressen das lokale Netzwerk (Intranet oder interne Adressen) oder die Loopback-Schnittstelle (127.0.0.0/8) erfordern eine Bestätigung des Benutzers. Zu den Schutzmaßnahmen gehören Versuche zum Laden von Ressourcen, fetch()-Anfragen und iframe-Einbettungen. Der Schutz wird bisher nicht für Verbindungen über WebSockets, WebTransport und WebRTC angewendet, wird jedoch in der nächsten Version hinzugefügt.

  Die Ansprache interner Ressourcen wird von Angreifern zur indirekten Identifizierung und zur Durchführung von CSRF-Angriffen auf Router, Access Points, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste genutzt, die Anfragen nur aus dem lokalen Netzwerk akzeptieren. Um die Klassifizierung von Subnetzwerken als intern oder öffentlich zu steuern, wurde die Einstellung LocalNetworkAccessIpAddressSpaceOverrides vorgeschlagen, und um den Zugriff für untergeordnete iframes basierend auf den Berechtigungen des übergeordneten iframes automatisch zu genehmigen, wurde die Einstellung LocalNetworkAccessPermissionsPolicyDefaultEnabled hinzugefügt.

• Die CSS-Eigenschaften „animation-trigger“ und „trigger-scope“ wurden hinzugefügt, um Animationen basierend auf der Scrollposition der Seite zu steuern. Zum Beispiel kann die Animation gestartet, gestoppt oder neu gestartet werden, wenn eine bestimmte Scrollposition erreicht wird, und das ganz ohne JavaScript, nur mit deklarativem CSS.
• Die Unterstützung des Custom Element Registry wurde implementiert, um den Sichtbarkeitsbereich benutzerdefinierter HTML-Elemente zu trennen, was erforderlich sein kann, wenn auf einer Seite mehrere verschiedene benutzerdefinierte HTML-Elemente mit dem gleichen Namen verwendet werden. Wenn auf der Seite mehrere Bibliotheken verwendet werden, die ein Element mit demselben Namen definieren, können mit dem JavaScript-Objekt CustomElementRegistry die Elemente jeder Bibliothek bestimmten Teilen der DOM-Hierarchie zugeordnet werden. Zum Beispiel, wenn zwei Bibliotheken unterschiedliche Elemente mit dem gleichen Namen definieren, kann in einem Teil der Seite das Element aus der ersten Bibliothek und in einem anderen das aus der zweiten verwendet werden.
• Die API Sanitizer wurde hinzugefügt, die nützlich sein kann, um eingehende externe Daten zu bereinigen und HTML-Tags zu entfernen, die für XSS-Angriffe verwendet werden könnten. Die API bietet Methoden zur Manipulation von HTML und zum Entfernen von HTML-Elementen aus dem Inhalt, die das Rendering und die Ausführung beeinflussen. Für das sichere Einfügen von HTML-Inhalten wurde die Methode element.setHTML() vorgeschlagen, die element.innerHTML ähnlich ist, aber gegen Cross-Site-Scripting (XSS) schützt. Für das sichere Parsen von HTML wurde die Methode document.parseHTML() implementiert. const unsanitizedString = "abc def"; const sanitizer1 = new Sanitizer({ elements: ["div", "p", "button", "script"], }); const target = document.getElementById("target"); target.setHTML(unsanitizedString, { sanitizer: sanitizer1 });
• Im «meta»-Element wurde der Parameter «text-scale» implementiert (zum Beispiel, ), der eine automatische Skalierung der Schriftgröße auf der Seite gemäß den Einstellungen des Browsers und des Betriebssystems ermöglicht, wenn auf der Seite relative Maßeinheiten (rem und em) verwendet werden.
• Die API WebGPU hat einen optionalen Kompatibilitätsmodus erhalten, der ein Funktionssubset bereitstellt, das auf Systemen mit veralteten Grafik-APIs wie OpenGL und Direct3D11 funktioniert.
• In JavaScript wurde die Möglichkeit hinzugefügt, mehrere Iteratoren mit der Methode Iterator.concat() zu einem zusammenzuführen.
• Im Modus 'Origin trials' wurde die API WebNN implementiert, die die Verwendung der von der Betriebssystem angebotenen Dienste für maschinelles Lernen und der damit verbundenen Hardwarefähigkeiten ermöglicht.
• Im Modus «Origin trials» wurde die API CPU Performance zur Abrufung von Informationen über die Leistungsstufe und Eigenschaften des Prozessors (Anzahl der Kerne, Typ, Architektur, Modell, Taktfrequenz usw.) implementiert.
• Im Modus «Origin trials» wurde das Attribut «focusgroup» hinzugefügt, das es ermöglicht, anstelle von Tabulatortasten die Pfeiltasten zu verwenden, um zwischen Schaltflächen oder anderen Elementen, die mit dem Fokussieren verbunden sind, zu navigieren.
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen. In der Webkonsole bleiben die Ergebnisse der Befehlsbearbeitung bei der Navigation durch die Befehls-Historie erhalten. Im Element-Bereich wird die Anzeige von CSS-Stilen, die programmatisch zum Shadow DOM hinzugefügt wurden, über einen separaten Knoten «#adopted-style-sheets» im DOM-Baum realisiert, ähnlich wie bei der Anzeige und Bearbeitung von Stilen, die über das Tag definiert wurden.

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 29 Schwachstellen behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Ein Problem (Bufferüberlauf in WebML) wurde als kritisch eingestuft, was bedeutet, dass die Schwachstelle sämtlichen Schutzebenen des Browsers umgeht und Code im System außerhalb der Sandbox-Umgebung ausführt. Im Rahmen des Programms zur Belohnung von Schwachstellenerkennungen hat Google für die aktuelle Version 29 Prämien ausgelobt und 211.000 US-Dollar ausgezahlt, was einen Rekord für die Höhe der Auszahlungen in einer einzelnen Version darstellt (zwei Prämien über 43.000 $, je eine Prämie über 36.000 $, 33.000 $, 11.000 $ und 7.000 $, zwei Prämien über 10.000 $ und 3.000 $, sowie vier Prämien über 2.000 $ und 1.000 $). Der Betrag von 12 Prämien ist noch nicht festgelegt.

Quelle: opennet.ru