Chrome 97 wurde veröffentlicht.

Google hat die Version 97 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht eine stabile Version des freien Projekts Chromium zur Verfügung, auf dem Chrome basiert. Der Browser Chrome zeichnet sich durch die Verwendung der Google-Logos aus, enthält ein Benachrichtigungssystem für Abstürze, Module zum Abspielen von kopiergeschützten Videos (DRM), ein automatisches Update-System sowie die Übertragung von RLZ-Parametern während der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, wird der Extended Stable-Zweig unterstützt, der über einen Zeitraum von 8 Wochen aktualisiert wird und eine Version für den vorherigen Release, Chrome 96, bereitstellt. Die nächste Version von Chrome 98 ist für den 1. Februar geplant.

Die wichtigsten Änderungen in Chrome 97:

• Für einige Benutzer wird im Konfigurator eine neue Benutzeroberfläche für die Verwaltung der im Browser gespeicherten Daten verwendet („chrome://settings/content/all“). Das Hauptmerkmal der neuen Oberfläche ist die Ausrichtung auf die Konfiguration von Berechtigungen und das gleichzeitige Löschen aller Cookies der Website, ohne die Möglichkeit, detaillierte Informationen zu einzelnen Cookies einzusehen oder diese selektiv zu löschen. Laut Google kann der Zugang zur Verwaltung einzelner Cookies für den durchschnittlichen Benutzer, der nicht mit den Feinheiten der Webentwicklung vertraut ist, zu unvorhersehbaren Störungen der Website-Funktionalität führen, aufgrund nicht durchdachter Änderungen einzelner Parameter sowie zu unbeabsichtigtem Deaktivieren von über Cookies aktivierten Datenschutzmechanismen. Für diejenigen, die Manipulationen an einzelnen Cookies benötigen, wird empfohlen, den Bereich zur Verwaltung des Speichers in den Entwicklertools (Application/Storage/Cookie) zu verwenden.
• Im Bereich mit Informationen zur Website wird eine kurze Beschreibung der Website angezeigt (zum Beispiel Beschreibungen aus Wikipedia), wenn in den Einstellungen der Modus zur Optimierung von Suche und Navigation aktiviert ist (Option „Make searches and browsing better“).
• Die Unterstützung für das automatische Ausfüllen von Formularfeldern in Webanwendungen wurde verbessert. Vorschläge mit Autofill-Optionen werden jetzt mit einem leichten Versatz angezeigt und mit Informationssymbole versehen, um eine bequemere Vorschau und die visuelle Zuordnung zu den auszufüllenden Feldern zu ermöglichen. Zum Beispiel zeigt das Profilsymbol an, dass das angebotene Autofill sich auf Felder bezieht, die mit Adresse und Kontaktdaten verknüpft sind.
• Es wird sichergestellt, dass die Daten von Benutzerdatenverarbeitern nach dem Schließen der zugehörigen Browserfenster aus dem Speicher entfernt werden. Zuvor blieben die Profile im Speicher und führten weiterhin Aufgaben im Zusammenhang mit der Synchronisation und Ausführung im Hintergrund stehender Skripte von Erweiterungen aus, was zu ungerechtfertigten Ressourcenverbrauch auf Systemen führte, die mehrere Profile gleichzeitig verwendeten (z. B. Gastprofil und Google-Kontoverknüpfung). Darüber hinaus wurde eine gründlichere Bereinigung der Daten, die während der Arbeit mit dem Profil verbleiben, gewährleistet.
• Die Seite mit den Suchmaschineneinstellungen („Einstellungen > Suchmaschinen verwalten“) wurde verbessert. Die automatische Aktivierung von Engines, deren Informationen beim Öffnen der Website über das OpenSearch-Skript angezeigt werden, wurde deaktiviert – neue Engines zur Verarbeitung von Suchanfragen aus der Adressleiste müssen jetzt manuell in den Einstellungen aktiviert werden (früher automatisch aktivierte Engines funktionieren weiterhin unverändert).
• Ab dem 17. Januar werden im Chrome Web Store keine Erweiterungen mehr akzeptiert, die die zweite Version des Manifestes von Chrome verwenden. Die Entwickler bereits hinzugefügter Erweiterungen können jedoch weiterhin Updates veröffentlichen, wie bisher.
• Die experimentelle Unterstützung für die WebTransport-Spezifikation wurde hinzugefügt, die das Protokoll und die zugehörige JavaScript-API zur Übertragung von Daten zwischen dem Browser und definiert. dem Server durch. Der Kommunikationskanal wird über HTTP/3 organisiert und nutzt als Transportprotokoll QUIC. WebTransport kann anstelle von WebSockets verwendet werden und bietet zusätzliche Funktionen wie die Möglichkeit zur Übertragung in mehreren Streams, unidirektionale Streams sowie die Lieferung ohne Berücksichtigung der Reihenfolge des Paketversands (out-of-order), sowohl in zuverlässigen als auch in unzuverlässigen Liefermodi. Darüber hinaus kann WebTransport anstelle des Server Push-Mechanismus verwendet werden, von dem Google in Chrome Abstand genommen hat.
• In den JavaScript-Objekten Array und TypedArrays wurden die Methoden findLast und findLastIndex hinzugefügt, die es ermöglichen, Elemente relativ zum Ende des Arrays zu suchen. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (letztes gerades Element)
• Geschlossene (ohne das Attribut „open“) HTML-Elemente
  , sind jetzt für die Suche und Links verfügbar und werden automatisch ausgeklappt, wenn die Seitensuche und die Navigation durch Fragmente (ScrollToTextFragment) genutzt werden.
• Einschränkungen der Content Security Policy (CSP) in den Antwortheadern Server gelten jetzt auch für dedizierte Worker, die zuvor als separate Dokumente betrachtet wurden.
• Eine explizite Anfrage zur Genehmigung des Ladens von Subressourcen aus dem internen Netzwerk wird jetzt gesendet, bevor auf das interne Netzwerk oder localhost des Hauptserver zugegriffen wird. Es wird eine CORS (Cross-Origin Resource Sharing) Anfrage mit dem Header «Access-Control-Request-Private-Network: true» gesendet, die eine Bestätigung der Aktion über den Rückgabe-Header «Access-Control-Allow-Private-Network: true» erfordert.
• Das CSS-Attribut font-synthesis wurde hinzugefügt, um die Möglichkeit zu steuern, dass der Browser fehlende Schriftschnitte (oblique, bold und small-cap), die im ausgewählten Schriftschnitt nicht vorhanden sind, synthetisieren kann.
• Für CSS-Transformationen wurde in der Funktion perspective() der Parameter ‘none’ implementiert, der als unendlicher Wert bei der Animation behandelt wird.
• Der HTTP-Header Permissions-Policy (Feature Policy), der für die Delegierung von Berechtigungen und die Aktivierung erweiterter Funktionen verwendet wird, unterstützt jetzt den Wert keyboard-map, der die Verwendung der Keyboard-API erlaubt. Die Methode Keyboard.getLayoutMap() wurde implementiert, um zu bestimmen, welche Taste gedrückt wurde, unter Berücksichtigung verschiedener Tastaturlayouts (zum Beispiel, ob eine Taste bei der russischen oder englischen Tastatur gedrückt wurde).
• Die Methode HTMLScriptElement.supports() wurde hinzugefügt, um die Definition neuer Funktionen im "script"-Element zu vereinheitlichen. Nun können die unterstützten Werte für das Attribut "type" abgerufen werden.
• Der Prozess der Normalisierung neuer Zeilen beim Senden von Webformularen wurde an die Browser-Engines Gecko und WebKit angeglichen. Die Normalisierung von Zeilenumbruch- und Wagenrücklaufzeichen (das Ersetzen von /r und /n durch \r\n) erfolgt in Chrome nun in der letzten Phase, nicht zu Beginn der Formularverarbeitung. Das bedeutet, dass Zwischenhandler, die das Objekt FormData verwenden, die Daten so sehen, wie sie der Nutzer eingegeben hat und nicht in normalisierter Form.
• Die Benennung von Eigenschaften für die API Client Hints wurde standardisiert, die als Ersatz für den User-Agent-Header entwickelt wird und es ermöglicht, gezielt Daten über bestimmte Browser- und Systemparameter (Version, Plattform usw.) nur auf Anfrage des Servers zu übermitteln. Die Eigenschaften werden jetzt mit dem Präfix "sec-ch-" definiert, wie z.B. sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink und sec-ch-ect.
• Die zweite Phase der Unterstützung für die WebSQL-API wurde eingestellt, und der Zugriff von Drittanbieterskripten wird nun blockiert. Zukünftig ist eine schrittweise vollständige Einstellung der Unterstützung für WebSQL geplant, unabhängig vom Nutzungskontext. Der WebSQL-Handler basiert auf SQLite-Code und könnte von Angreifern ausgenutzt werden, um Schwachstellen in SQLite auszubeuten.
• Für die Windows-Plattform wurde eine Version mit Integritätsprüfungen des Ausführungsflusses (CFG, Control Flow Guard) aktiviert, die Versuche zur Codeeinfügung in den Chrome-Prozess blockiert. Darüber hinaus wird für Netzwerkdienste, die in separaten Prozessen ausgeführt werden, nun eine Sandbox-Isolierung angewendet, die die Möglichkeiten von Code in diesen Prozessen einschränkt.
• In Chrome für Android wurde ein Mechanismus für das dynamische Aktualisieren des Logs von ausgestellten und widerrufenen Zertifikaten (Certificate Transparency) integriert, der zuvor in den Versionen für Desktop-Systeme aktiviert war.
• Verbesserungen der Tools für Webentwickler wurden vorgenommen. Experimentelle Unterstützung für die Synchronisierung von DevTools-Einstellungen zwischen verschiedenen Geräten eingeführt. Ein neues Recorder-Panel wurde hinzugefügt, mit dem Benutzeraktionen auf der Seite aufgezeichnet, wiedergegeben und analysiert werden können.

  Bei der Ausgabe von Fehlern in der Webkonsole werden nun die Spaltennummern angezeigt, die mit dem Problem verbunden sind, was die Fehlersuche bei minifiziertem JavaScript-Code erleichtert. Die Liste der Geräte, die simuliert werden können, um die Darstellung der Seite auf mobilen Geräten zu bewerten, wurde aktualisiert. Im Editor für HTML-Blöcke (Edit as HTML) wurden Syntax-Hervorhebung und die Möglichkeit zur automatischen Vervollständigung von Eingaben hinzugefügt.

  

Neben Neuerungen und Fehlerbehebungen wurden in der neuen Version 37 Sicherheitsanfälligkeiten behoben. Viele dieser Anfälligkeiten wurden durch automatisierte Testwerkzeuge wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Eine dieser Anfälligkeiten wurde als kritisches Problem eingestuft, das es ermöglicht, alle Sicherheitsebenen des Browsers zu umgehen und Code im System außerhalb der Sandbox-Umgebung auszuführen. Details zur kritischen Anfälligkeit (CVE-2022-0096) sind derzeit nicht verfügbar, es ist jedoch bekannt, dass sie mit dem Zugriff auf bereits freigegebenen Speicher im Code für interne Speicher-APIs zusammenhängt.

Im Rahmen des Programms zur Belohnung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 24 Prämien in Höhe von insgesamt 54.000 US-Dollar ausgeschüttet (drei Prämien à 10.000 $, zwei Prämien à 5.000 $, eine Prämie à 4.000 $, drei Prämien à 3.000 $ und eine Prämie à 1.000 $). Die Höhe von 14 Prämien ist noch nicht festgelegt.

Quelle: opennet.ru