Chrome 150 veröffentlicht

Google hat die Version 150 des Webbrowsers Chrome veröffentlicht. Gleichzeitig ist die stabile Version des Open-Source-Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, einem System zur Übermittlung von Benachrichtigungen im Falle eines Absturzes, Modulen zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), einer automatischen Aktualisierungsinstallation, der ständigen Aktivierung von Sandbox-Isolation, der Bereitstellung von Schlüsseln für Google APIs sowie der Übertragung von RLZ-Parametern bei der Suche. Für Benutzer, die mehr Zeit für Aktualisierungen benötigen, wird eine separate Extended Stable-Version unterstützt, die 8 Wochen lang aktiv bleibt. Die nächste Version von Chrome 151 ist für den 28. Juli geplant.

Hauptänderungen in Chrome 150 (1, 2, 3, 4):

• Die ersten Ergebnisse der Initiative zur Aktualisierung der Benutzeroberfläche auf verschiedenen Betriebssystemen wurden vorgestellt. Neue Symbole mit weicheren Kanten und Animationseffekte für Tasten, wie die Schaltflächen zum Öffnen des Hauptmenüs und zum Neuladen der Seite, wurden implementiert. Die Struktur der Kontextmenüs wurde vereinfacht, indem selten verwendete oder doppelte Elemente entfernt wurden. Ein modernes Design für den Konfigurator, den Download-Manager und die Seiten zur Navigation in den Lesezeichen wurde eingeführt.
• Die Entwicklung des AI-Modus wurde fortgesetzt, der es ermöglicht, über die Adresszeile oder die Seite, die beim Öffnen eines neuen Tabs angezeigt wird, mit dem KI-Agenten zu interagieren. In der neuen Version wurde die Möglichkeit hinzugefügt, Chrome mit dem KI-Agenten Gemini Spark zu verbinden, um in der aktuellen aktiven Registerkarte autonom Aktionen im Rahmen der Bearbeitung gestellter Aufgaben durchzuführen, die eine Interaktion mit Webinhalten erfordern (z. B. Drücken von Tasten, Klicken auf Links, Ausfüllen von Formularen usw.). Darüber hinaus wurden kontextuelle Empfehlungen zur Nutzung von Gemini beim Arbeiten mit dem Browser hinzugefügt; beispielsweise wird Chrome beim Öffnen eines umfangreichen Artikels vorschlagen, die Informationen mit Gemini zusammenzufassen, und beim Bearbeiten von Text in einem Formular wird empfohlen, den Text über Gemini zu überprüfen oder zu korrigieren.
• Für einige Benutzer ist eine vereinheitlichte, vereinfachte Schnittstelle zur Verknüpfung mit dem Google-Konto und zur Synchronisierung von Daten wie gespeicherten Passwörtern und Lesezeichen aktiv. Die Synchronisierung ist in den Anmeldevorgang integriert und wird nicht als separate Funktion in den Einstellungen angezeigt. Benutzer können Chrome mit ihrem Google-Konto verbinden und es zur Speicherung von Passwörtern, Lesezeichen, Verlauf und offenen Tabs verwenden. Daten für die Adressautovervollständigung und Eingabeautovervollständigung werden nun nicht mehr zwischen Geräten synchronisiert und nur lokal auf dem System gespeichert.
• Bei einem Teil der Nutzer, die den Modus für erweiterten Datenschutz im Browser (Enhanced Safe Browsing) aktiviert haben, ist die Funktion „HTTPS-First“ aktiviert, die HTTP-Anfragen automatisch auf HTTPS umleitet. Um die Nutzung von Websites zu ermöglichen, die kein HTTPS unterstützen, gibt es eine Rückfalloption auf HTTP, falls nach der Umleitung die Anfrage über HTTPS nicht erfolgreich ist oder es Probleme mit den Zertifikaten gibt. Beim Versuch, eine Website über HTTP zu öffnen, erscheint eine spezielle Warnung. In Chrome 154 wird dieser Modus standardmäßig für alle öffentlich zugänglichen Websites aktiviert, die nicht in Intrane-netzwerken gehostet werden, wie z. B. 192.168.0.1 und 10.0.0.0/8.
• Die Unterstützung des Flags kExtensionManifestV2Disabled wurde entfernt, das es erlaubte, Erweiterungen mit der zweiten Version des Chrome-Manifests aus dem Chrome Web Store zu installieren. Im nächsten Release von Chrome 151 wird die Option AllowLegacyMV2Extensions entfernt, die es ermöglichte, Erweiterungen auf Basis der zweiten Manifestversion manuell im Entwicklermodus zu laden. Diese Flags ermöglichten es, eine Umgehung für die Installation der Erweiterung uBlock Origin zu schaffen.
• Web Worker, die mit der URI „data:“ erstellt wurden (zum Beispiel über „new Worker('data:text/javascript…')“), sind jetzt von der Seite isoliert, auf der sie erstellt wurden, und haben keinen Zugriff auf lokale Speicher und Cookies im aktuellen Kontext. Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden.Diese Änderung ermöglicht es, die Verwendung von Web Workern, die nicht von Servergeladen werden, sondern dynamisch über „data:“ erstellt werden, zu blockieren, um auf vertrauliche Daten während von XSS-Angriffen zuzugreifen.
• Es wurde ein Schutz gegen Angriffe implementiert, die die Beschränkung der maximalen Anzahl von Verbindungen zu einem Proxy als versteckten Kommunikationskanal zwischen in verschiedenen Tabs ausgeführtem JavaScript-Code manipulieren oder um festzustellen, ob eine bestimmte Website zuvor besucht wurde. Zum Beispiel könnte ein Angreifer alle verfügbaren Verbindungen zum Proxy beanspruchen und nur einen Socket ungenutzt lassen, um dessen Verfügbarkeit beim Abrufen einer statischen Ressource zu analysieren — wenn der Socket nicht belegt ist, wurde die Ressource von der überprüften Website aus dem Cache bereitgestellt, d.h. der Benutzer hat sie bereits zuvor geladen. Das Limit für die maximale Anzahl von Verbindungen zu TCP-Sockets des Proxys wird jetzt zufällig variiert.
• Die Anwendung von SVG-Filtern auf fremde (Cross-Origin) oder isolierte (sandboxed) iframe-Blöcke sowie auf Plugins (zum Beispiel eingebettete PDF-Viewer) ist untersagt. Diese Einschränkung schützt vor Angriffen über Drittanbieter-Kanäle, wie GPU.zip und SVG Clickjacking-Angriffen, bei denen SVG-Filter verwendet werden, um transparente Inhalte über anderen Inhalten zu layen, mit dem Ziel, unsichtbare Schaltflächen, wie beispielsweise über dem Schließen-Button eines Werbefensters, zu platzieren.
• Für isolierte Webanwendungen (PWA, Progressive Web App) besteht die Möglichkeit, auf eine neue Subdomain innerhalb einer Basisdomain zu migrieren (zum Beispiel den Wechsel von drive.example.com zu fileman.example.com) ohne Benutzerinteraktion (früher war die PWA-Anwendung an die Ursprungsdomain gebunden, und bei einem Wechsel der Subdomain, beispielsweise bei einem Rebranding oder einer Umstrukturierung, war eine manuelle Neuinstallation erforderlich).
• In TLS ist standardmäßig die Unterstützung des Signaturalgorithms ML-DSA (CRYSTALS-Dilithium) enthalten, der resistent gegenüber Brute-Force-Angriffen auf Quantencomputern ist.
• In der Android-Version wird die Unterstützung des Standards FIDO Alliance Credential Exchange implementiert, mit dem gespeicherte Passwörter und Biometrie-Parameter unter Verwendung von End-to-End-Verschlüsselung auf der Client-Seite importiert und exportiert werden können, zum Beispiel für einen sicheren Transfer zwischen Google Password Manager und Drittanbieter-Passwortmanagern.
• In der Android-Version wird im Konfigurator eine neue einheitliche Benutzeroberfläche zur Verwaltung von gespeicherten Passwörtern und AutoFill-Daten angeboten. Die Idee ist, dass der Benutzer auf einen Blick Informationen zu verschiedenen Klassen von sensiblen Daten, die vom Browser gespeichert werden, wie Passwörter, biometrische Authentifizierungsdaten, Adressen und Ausweisdaten, erhalten kann.
• Das CSS-Attribut „text-fit“ wurde hinzugefügt, um die Schriftgröße automatisch anzupassen, damit der Text in die Breite des übergeordneten Containers passt (zum Beispiel, wenn ein Titel in einem bestimmten Bereich untergebracht werden soll, ohne dass ein Überlauf in eine andere Zeile erfolgt oder um die Schriftart für verschiedene Bildschirmauflösungen anzupassen).
• Im CSS-Eigenschaft "background-clip" wurde die Unterstützung für den Parameter "border-area" hinzugefügt, der die Erstellung von Rändern mit Farbverläufen vereinfacht, indem der Hintergrund des Elements strikt im Bereich gezeichnet wird, den der Rahmen einnimmt.
• Die CSS-Funktion image() wurde hinzugefügt, die es ermöglicht, ein Bild mit einer angegebenen Farbausfüllung zu generieren.
• Im Rahmen der Origin Trials beginnt das Testen des Protokolls EVP (Email Verification Protocol) zur automatischen kryptografischen Bestätigung des Eigentums an einer E-Mail, ohne dass einmalige Bestätigungscodes an die E-Mail gesendet werden müssen.
• Das HTML-Attribut focusgroup wurde hinzugefügt, um die deklarative Steuerung des Eingabefokus mit der Tastatur innerhalb zusammengesetzter Komponenten wie Menüs zu ermöglichen, ohne JavaScript zu verwenden. Zum Beispiel wird nach dem Verlassen der Gruppe von Elementen mit der Tabulatortaste und der Rückkehr der Fokus auf das zuletzt aktive Element zurückgegeben und nicht auf das erste Element in der Liste.
• Verbesserungen an den Tools für Webentwickler wurden vorgenommen. Neue Funktionen zum Inspektieren und Debuggen des WebMCP-Tools, das zur Integration von Websites mit KI-Agenten über das MCP-Protokoll verwendet wird, wurden hinzugefügt. Im Stilbereich ist die Bearbeitung der Regeln "@container", "@counter-style" und "@function" nun erlaubt.

Neben den Neuerungen und Fehlerbehebungen in der neuen Version wurden 433 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Zwanzig Probleme wurden als kritisch eingestuft, was bedeutet, dass diese Schwachstellen alle Schutzebenen des Browsers umgehen und Code außerhalb der Sandbox-Umgebung ausführen können. 14 kritische Probleme resultieren aus dem Zugriff auf bereits freigegebene Speicherbereiche (use-after-free), 3 aus unzureichender Validierung nicht vertrauenswürdiger Eingabedaten, 2 aus Pufferüberläufen und 1 aus einer fehlerhaften Typenverarbeitung (Type Confusion). Im Rahmen des Bug-Bounty-Programms für diese Version hat Google insgesamt 319.000 US-Dollar ausgezahlt (einschließlich einer Belohnung von 250.000 US-Dollar für CVE-2026-14382 in der ANGLE-Bibliothek, drei Belohnungen von 10.000 $, 2.500 $, 2.000 $ und 1.000 $, sowie zwei Belohnungen von 3.000 $ und jeweils eine Belohnung von 8.000 $, 5.000 $ und 4.000 $).

Quelle: opennet.ru