Google hat die Version 146 des Web-Browsers Chrome veröffentlicht. Gleichzeitig steht die stabile Version des freien Projekts Chromium zur Verfügung, auf dem Chrome basiert. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung der Google-Logos, die Benachrichtigungssysteme im Falle eines Absturzes, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), die automatische Installationsfunktion für Updates, die permanente Aktivierung der Sandbox-Isolierung, die Bereitstellung von Schlüsseln für die Google-API und die Übertragung von RLZ-Parametern bei der Suche. Für Benutzer, die mehr Zeit für Updates benötigen, wird außerdem ein separater Extended Stable-Zweig unterstützt, der 8 Wochen lang betreut wird. Die nächste Version Chrome 147 ist für den 7. April geplant.
Separat hat Google die Veröffentlichung offizieller Chrome-Versionen für Linux-Systeme auf der ARM64-Architektur angekündigt. Die Linux-Builds für ARM64 werden im zweiten Quartal 2026 erstellt und in deb- und rpm-Paketen verfügbar sein. Zuvor wurden offizielle Chrome-Versionen für Linux nur für die x86_64-Architektur veröffentlicht, während die ARM64-Architektur nur von Drittanbieter-Versionen von Chromium unterstützt wurde, die von den Distributionen angeboten werden. Die offizielle Version von Chrome bietet die Unterstützung für die Anmeldung bei einem Google-Konto, die Integration von Google-Diensten, die Synchronisierung von Daten zwischen Geräten, die vereinfachte Installation von Erweiterungen aus dem Chrome Web Store und die Möglichkeit, den erweiterten Schutzmodus zu aktivieren.
Die wichtigsten Änderungen in Chrome 146:
- Für einen Teil der Nutzer wurde ein Mechanismus zur selektiven Berechtigungseingriffe (Selective permission intervention) aktiviert, der den Zugriff von JavaScript-Skripten, die zur Anzeige von Werbung verwendet werden, auf Funktionen, die die Privatsphäre betreffen, wie den Zugriff auf Standortinformationen, Mikrofon, Zwischenablage, Bluetooth, USB, serielle Schnittstellen und Bildschirmaufnahme blockiert. Die Idee ist, dass, wenn der Nutzer der Webseite den Zugriff auf solche Funktionen gewährt hat, diese Berechtigungen nicht für Drittanbieterskripte angewendet werden, die auf dieser Seite von anderen Websites geladen werden (entweder über das iframe-Tag oder direkt über das script-Tag).
- Die Struktur der sicherheitsrelevanten Einstellungen wurde geändert. Zur Vereinfachung erhält der Nutzer die Möglichkeit, zwischen einem Standard- und einem erweiterten Schutzniveau zu wählen, was es ihm ermöglicht, das gewünschte Sicherheitsniveau zu erreichen, ohne sich mit Details und erweiterten Optionen auseinandersetzen zu müssen. Wenn der erweiterte Modus gewählt wird, erfolgt zusätzlich eine Überprüfung von URL und Inhalt. Servern Google zeigt Warnungen für ungesicherte Verbindungen an und verlangsamt die Leistung von für den Benutzer ungewohnten Websites, um Angriffe zu blockieren. Bei Bedarf kann der Benutzer zur alten Methode der separaten Konfiguration jeder Einstellung zurückkehren. Um die Aktivierung der neuen Sicherheitsoberfläche zu steuern, wurde die Option „chrome://flags/#bundled-security-settings“ eingeführt.
- Die Entwicklung des AI-Modus wurde fortgesetzt, der die Interaktion mit dem AI-Agenten über die Adresszeile oder die Seite ermöglicht, die beim Öffnen eines neuen Tabs angezeigt wird. Der AI-Modus ermöglicht es, komplexe Fragen in natürlicher Sprache zu stellen und Antworten basierend auf der Aggregation von Informationen aus den relevantesten Seiten zu einem bestimmten Thema zu erhalten. Auf Wunsch kann der Benutzer zusätzliche Informationen durch gezielte Fragen präzisieren. Der Modus erlaubt es auch, Fragen zum Inhalt der Seite direkt aus der Adresszeile zu stellen. In Chrome 146 wurde die Möglichkeit realisiert, Dateien aus Google Drive als Kontext für den AI-Agenten zu verwenden.
- Im automatischen Ausfüllmodus besteht die Möglichkeit, zusätzliche Datentypen zu nutzen, die zuvor nur im erweiterten Autocomplete-Modus (Enhanced autofill) verfügbar waren.
- Es begann schrittweise die Aktivierung des Schutzes für Benutzer, um den Zugriff auf lokale Systeme bei Interaktionen mit öffentlichen Websites zu verhindern. Anfragen von Websites an IP-Adressen das lokale Netzwerk (Intranet oder interne Adressen) oder die Loopback-Schnittstelle (127.0.0.0/8) erfordern eine Bestätigung der Aktion durch den Benutzer. Die Schutzmaßnahmen betreffen Versuche, Ressourcen zu laden, fetch()-Anfragen und iframe-Integrationen. Der Schutz wird derzeit noch nicht für Verbindungen über WebSockets, WebTransport und WebRTC angewendet, wird jedoch in der nächsten Version hinzugefügt.
Der Zugriff auf interne Ressourcen wird von Angreifern verwendet, um eine indirekte Identifizierung durchzuführen und CSRF-Angriffe auf Router, Access Points, Drucker, Unternehmens-Webinterfaces und andere Geräte und Dienste zu ermöglichen, die Anfragen nur aus dem lokalen Netzwerk akzeptieren. Um Subnetze als intern oder öffentlich zu klassifizieren, wurde die Einstellung LocalNetworkAccessIpAddressSpaceOverrides vorgeschlagen, und zur automatischen Genehmigung des Zugriffs für untergeordnete iFrames basierend auf den Berechtigungen des übergeordneten iFrames wurde die Einstellung LocalNetworkAccessPermissionsPolicyDefaultEnabled hinzugefügt.
- CSS-Eigenschaften "animation-trigger" und "trigger-scope" wurden hinzugefügt, um Animationen basierend auf der Scrollposition der Seite zu steuern. Beispielsweise kann die Animation gestartet, gestoppt oder neu gestartet werden, sobald eine bestimmte Scrollposition erreicht wird, ganz ohne JavaScript und nur mit deklarativem CSS.
- Die Unterstützung für das Register benutzerdefinierter Elemente wurde implementiert, um den Sichtbarkeitsbereich von benutzerdefinierten HTML-Elementen zu trennen. Dies kann erforderlich sein, wenn auf einer Seite mehrere verschiedene benutzerdefinierte HTML-Elemente mit demselben Namen verwendet werden. Bei Verwendung mehrerer Bibliotheken auf der Seite, die ein Element mit demselben Namen definieren, können die Elemente jeder Bibliothek mithilfe des JavaScript-Objekts CustomElementRegistry bestimmten Teilen der DOM-Hierarchie zugeordnet werden. Wenn beispielsweise zwei Bibliotheken unterschiedliche Elemente mit demselben Namen definieren, kann das Element aus der ersten Bibliothek an einem Teil der Seite verwendet werden, während an einem anderen Teil das aus der zweiten Bibliothek verwendet wird.
- Ein API-Sanitizer wurde hinzugefügt, der nützlich sein kann, um extern eingehende Daten zu bereinigen und HTML-Tags zu entfernen, die für XSS-Angriffe verwendet werden können. Die API bietet Methoden zur Manipulation von HTML und zum Entfernen von HTML-Elementen aus dem Inhalt, die das Rendering und die Ausführung beeinflussen. Zur sicheren Einfügung von HTML-Inhalten wird die Methode element.setHTML() vorgeschlagen, die ähnlich wie element.innerHTML funktioniert, aber vor Cross-Site-Scripting (XSS) schützt. Für die sichere Analyse von HTML wurde die Methode document.parseHTML() implementiert. const unsanitizedString = "abc def"; const sanitizer1 = new Sanitizer({ elements: ["div", "p", "button", "script"], }); const target = document.getElementById("target"); target.setHTML(unsanitizedString, { sanitizer: sanitizer1 });
- Im Element „meta“ wurde ein Parameter mit dem Namen „text-scale“ implementiert (z. B. ), der eine automatische Skalierung der Schriftgröße auf der Seite entsprechend den Einstellungen des Browsers und des Betriebssystems ermöglicht, wenn relative Maßeinheiten (rem und em) auf der Seite verwendet werden.
- In der WebGPU-API wurde ein optionaler Kompatibilitätsmodus hinzugefügt, der eine Teilmenge von Funktionen bereitstellt, die auf Systemen mit veralteten Grafik-APIs wie OpenGL und Direct3D11 funktionieren können.
- In JavaScript wurde die Möglichkeit hinzugefügt, mehrere Iteratoren mittels der Methode Iterator.concat() zu einem einzigen zu verbinden.
- Im Modus 'Origin Trials' wurde die API WebNN implementiert, die die von der Betriebssystem bereitgestellten Dienste für maschinelles Lernen und die damit verbundenen Hardwarefähigkeiten nutzen kann.
- Im Modus „Origin Trials“ wurde die CPU Performance API implementiert, um Informationen über die Leistungsstufe und Merkmale des Prozessors (Anzahl der Kerne, Typ, Architektur, Modell, Frequenz usw.) abzurufen.
- Im Modus „Origin Trials“ wurde das Attribut „focusgroup“ hinzugefügt, das es ermöglicht, statt mit der Tabulatortaste die Pfeiltasten zu verwenden, um zwischen Schaltflächen oder anderen Elementen, die mit dem Fokuswechsel verbunden sind, zu navigieren.
- Es wurden Verbesserungen an den Tools für Webentwickler vorgenommen. In der Web-Konsole werden die Ergebnisse der Befehlsbearbeitung beim Navigieren durch den Befehlshistorie gespeichert. In der Elemente-Palette wird die Anzeige von CSS-Stilen, die programmgesteuert zum Shadow DOM hinzugefügt wurden, über einen separaten Knoten „#adopted-style-sheets“ im DOM-Baum realisiert, ähnlich wie beim Anzeigen und Bearbeiten von Stilen, die über das <style>-Tag definiert sind.
Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 29 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Ein Problem (Pufferüberlauf in WebML) erhielt das kritische Gefahrenlevel, was bedeutet, dass die Schwachstelle die Umgehung aller Browserschutzebenen ermöglicht und die Ausführung von Code außerhalb der Sandbox-Umgebung im System zulässt. Im Rahmen des Prämienprogramms zur Entdeckung von Sicherheitsanfälligkeiten für die aktuelle Version hat Google 29 Preise ausgelobt und insgesamt 211.000 US-Dollar ausgezahlt, was einen Rekord für die Auszahlungshöhe in einem einzigen Release darstellt (zwei Preise in Höhe von 43.000 $, jeweils ein Preis in Höhe von 36.000 $, 33.000 $, 11.000 $ und 7.000 $, zwei Preise in Höhe von 10.000 $ und 3.000 $, sowie vier Preise in Höhe von 2.000 $ und 1.000 $). Die Höhe von 12 Prämien ist noch nicht festgelegt.
Quelle: opennet.ru
