Die Google GmbH hat das Release des Web-Browsers Chrome 141 veröffentlicht. Gleichzeitig steht eine stabile Version des freien Projekts Chromium zur Verfügung, das die Grundlage für Chrome bildet. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System zur Benachrichtigung im Falle von Abstürzen, Module zur Wiedergabe von kopiergeschützten Videoinhalten (DRM), eine automatische Aktualisierungsinstallation, die ständige Aktivierung der Sandbox-Isolierung, die Bereitstellung von Schlüsseln für die Google API und die Übermittlung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für ein Update benötigen, gibt es zusätzlich den Zweig Extended Stable, der für 8 Wochen unterstützt wird. Die nächste Version Chrome 142 ist für den 28. Oktober geplant.
Die Hauptänderungen in Chrome 141:
- Für einen Teil der Nutzer wurde der in den Browser integrierte Chatbot Gemini aktiviert, der den Inhalt der aufgerufenen Seite erklären und auf damit verbundene Fragen antworten kann, ohne die aktuelle Registerkarte zu wechseln. Um Gemini aufzurufen, wurde eine Schaltfläche in die obere rechte Ecke des Bildschirms eingefügt, deren Betätigung einen Dialog öffnet, in dem Fragen in natürlicher Sprache gestellt und Registerkarten ausgewählt werden können, deren Inhalte die KI bei der Formulierung der Antwort berücksichtigen sollte. Textbasierte und sprachliche Kommunikation mit dem Bot wird unterstützt. Diese Funktion ist für Nutzer aus den USA verfügbar, die Zugriff auf die Gemini-Anwendung haben und macOS, iOS oder Windows nutzen.
- Es wurde ein Schutz gegen Zugriffe auf das lokale System (Loopback, 127.0.0.0/8) sowie das interne Netzwerk (192.168.0.0/16, 10.0.0.0/8 usw.) bei der Interaktion mit öffentlichen Websites aktiviert. Bei dem Versuch, interne Ressourcen zu laden, wird der Browser nun einen Dialog mit der Aufforderung zur Bestätigung der Aktion anzeigen. Der Zugriff auf interne Ressourcen wird von Angreifern verwendet, um CSRF-Angriffe auf Router, Zugangspunkte, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste durchzuführen, die nur Anfragen aus dem lokalen Netzwerk akzeptieren. Darüber hinaus kann das Scannen interner Ressourcen zur indirekten Identifizierung oder zur Informationssammlung über das lokale Netzwerk verwendet werden.
- Der Übergang zu einem granulareren Modell der Prozessisolierung - „Origin Isolation“ - hat begonnen, bei dem jede Quelle von Inhalten (Origin - eine Verbindung aus Protokoll, der Domain unterscheiden, gesetzt werden. und der Port, zum Beispiel "https://foo.example.com"), wird in einem separaten Rendering-Prozess isoliert. Da eine erhöhte Fragmentierung der Isolation zu einem höheren Speicherverbrauch und einer höheren CPU-Belastung führen kann, wird der neue Isolationsmodus nur auf Systemen aktiviert, die mehr als 4 GB RAM haben. Auf leistungsschwachen Geräten wird weiterhin der alte Isolationsansatz verwendet, bei dem alle unterschiedlichen Inhaltsquellen, die mit einer Website verbunden sind (zum Beispiel foo.example.com und bar.example.com), in einem separaten Prozess isoliert werden. Diese Möglichkeit ist derzeit für einen Teil der Benutzer aktiviert und wird schrittweise ausgeweitet.
- Die Anwendung der „Same Origin“-Richtlinie für die API Storage Access API ist aktiviert. Der Aufruf „document.requestStorageAccess()“ aus einem über ein iframe von einer anderen Website geladenen Code wird standardmäßig jetzt nur die Website abdecken, von der dieses iframe geladen wurde, und nicht die Website, auf der das iframe platziert ist.
- Eine Heuristik wurde hinzugefügt, um auf der Client-Seite das Abfangen oder Umleiten von Suchanfragen zu externen Websites zu erkennen, die in die Adresszeile eingegeben oder auf der Seite angezeigt werden, die beim Öffnen eines neuen Tabs erscheint. Eine solche Abfangmethode wird von einigen schädlichen Erweiterungen verwendet. Die Prüfung erfolgt durch den Abgleich der vom Benutzer eingegebenen Anfragen mit dem Auftreten der Seite mit den Suchergebnissen. Bei Feststellung einer Manipulation wird in Safe Browsing auf Server Google Telemetrie zur detaillierteren Analyse gesendet, die Telemetrie von verschiedenen Benutzern berücksichtigt.
- Auf der Seite mit dem Öffnen eines neuen Tabs wird in der unteren Leiste, in der Informationen zu Erweiterungen angezeigt werden, die den Inhalt der neuen Tab-Seite beeinflussen, Informationen über die auf dem Gerät ausgeführte zentrale Verwaltung angezeigt.
- Auf Systemen mit Benutzerprofilen, die an externe Authentifizierungsanbieter gebunden sind, wurde die Möglichkeit zur Ausführung von Remote-Administrationsbefehlen umgesetzt, zum Beispiel zum Löschen des Cache oder von Cookies.
- Die API IndexedDB implementiert die Methode getAllRecords(), die es ermöglicht, alle Datensätze aus dem Objektspeicher (IDBObjectStore) und dem Index (IDBIndex) abzurufen. getAllRecords() kombiniert die Funktionalität der Methoden getAllKeys() und getAll() zum Abrufen sowohl von Primärschlüsseln als auch den entsprechenden Werten. Den Methoden getAll() und getAllKeys() wurde der Parameter „direction“ hinzugefügt, um die Richtung der Datenausgabe zu bestimmen, was bestimmte Lesevorgänge im Vergleich zur Verwendung von Cursoren beschleunigt.
- Die API „WebRTC Encoded Transform“ wurde hinzugefügt, um kodierte Mediendaten zu verarbeiten, die über RTCPeerConnection übertragen werden.
- Die Unterstützung für die Attribute „width“ und „height“ wurde für eingebettete Elemente hinzugefügt, deren Größe über CSS oder SVG-Markup gesteuert werden kann.
- Verbesserungen wurden an den Werkzeugen für Webentwickler vorgenommen. Ein experimenteller MCP (Model Context Protocol) Server wurde hinzugefügt, der den Zugriff auf die Funktionen von Chrome DevTools aus externen KI-Assistenten ermöglicht.
Zum Zeitpunkt der Nachrichtenverfassung sind keine Informationen über die behobenen Sicherheitsanfälligkeiten im Ankündigung und Änderungstracker vorhanden.
Zusatzinformation: Einen Tag nach der Veröffentlichung wurden Informationen über die behobenen Sicherheitsanfälligkeiten offengelegt. In Chrome 141 wurden 21 Sicherheitsanfälligkeiten behoben. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit Tools wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen, alle Sicherheitsebenen des Browsers zu umgehen und Code im System außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Programms zur Auszahlung von Belohnungen für das Auffinden von Sicherheitsanfälligkeiten hat Google für die aktuelle Veröffentlichung 12 Prämien in Höhe von 50.000 US-Dollar ausgezahlt (eine Prämie von 25.000 $, 5.000 $, 4.000 $ und 2.000 $, vier Prämien von 3.000 $ und zwei Prämien von 1.000 $). Die Höhe einer Prämie ist noch nicht festgelegt.
Quelle: opennet.ru
