Google hat Version 142 des Chrome-Webbrowsers veröffentlicht. Eine stabile Version des Open-Source-Projekts Chromium, der Grundlage von Chrome, ist ebenfalls verfügbar. Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System für Absturzbenachrichtigungen, Module zur Wiedergabe kopiergeschützter Videoinhalte (DRM), die automatische Installation von Updates, die permanente Sandbox-Isolation, die Bereitstellung von Google-API-Schlüsseln und die Übergabe von RLZ-Parametern bei der Suche. Für Nutzer, die mehr Zeit für das Update benötigen, wird ein separater „Extended Stable“-Zweig acht Wochen lang bereitgestellt. Die nächste Version, Chrome 143, ist für den 2. Dezember geplant.
Wichtige Änderungen in Chrome 142:
- Der lokale Systemzugriffsschutz ist bei der Interaktion mit öffentlichen Websites aktiviert. Beim Zugriff auf eine Website in einem öffentlichen oder internen Netzwerk (Intranet), IP-Adressen Beim Zugriff auf das lokale System oder die Loopback-Schnittstelle (127.0.0.0/8) zeigt der Browser dem Benutzer ein Dialogfeld an, in dem er die Operation bestätigen muss. Versuche, Ressourcen herunterzuladen, fetch()-Anfragen und iFrame-Einfügungen sind geschützt. Verbindungen über WebSockets, WebTransport und WebRTC sind derzeit nicht geschützt, der Schutz wird jedoch später für diese Technologien hinzugefügt.
Angreifer nutzen den Zugriff auf interne Ressourcen, um CSRF-Angriffe auf Router, Access Points, Drucker, Web-Schnittstellen von Unternehmen und andere Geräte und Dienste durchzuführen, die ausschließlich Anfragen aus dem lokalen Netzwerk akzeptieren. Darüber hinaus kann das Scannen interner Ressourcen zur indirekten Identifizierung oder zum Sammeln von Informationen über das lokale Netzwerk verwendet werden.
- Für die Verknüpfung mit einem Google-Konto und die Synchronisierung von Daten wie gespeicherten Passwörtern und Lesezeichen wurde eine einheitliche, vereinfachte Benutzeroberfläche eingeführt. Die Synchronisierung ist in die Kontoanmeldung integriert und wird nicht als separate Option in den Einstellungen angezeigt. Nutzer können Chrome mit ihrem Google-Konto verbinden und dieses zum Speichern von Passwörtern, Lesezeichen, Browserverlauf und Tabs verwenden. Diese Funktion ist derzeit für einige Nutzer verfügbar und wird schrittweise erweitert.
- Es wird ein neues Prozessisolationsmodell verwendet – „Ursprungsisolation“ –, bei dem jede Inhaltsquelle (Ursprung – eine Protokollbindung, Domain Beispielsweise wird der Port „https://foo.example.com“ in einem separaten Rendering-Prozess isoliert. Da eine feinere Isolierung zu erhöhtem Speicherverbrauch und höherer CPU-Auslastung führen kann, ist der neue Isolationsmodus nur auf Systemen mit mehr als 4 GB RAM aktiviert. Auf leistungsschwächerer Hardware wird weiterhin der alte Isolationsansatz verwendet, der alle verschiedenen Inhaltsquellen einer Website (z. B. foo.example.com und bar.example.com) in einem separaten Prozess isoliert.
- Auf Systemen mit Windows и macOSFür Apps, die keine zentrale Chrome-Verwaltung nutzen, haben wir die automatische Deaktivierung von zwangsweise installierten Browser-Add-ons implementiert, die gegen geringfügige Richtlinien des Chrome Web Stores verstoßen. Zu diesen geringfügigen Verstößen zählen potenzielle Sicherheitslücken, Push-basierte Add-ons ohne Wissen des Nutzers, Metadatenmanipulation, Verstöße gegen Datenschutzrichtlinien und irreführende Funktionen. Nutzer können deaktivierte Add-ons bei Bedarf wiederherstellen.
- In der Version für AndroidÄhnlich wie bei Desktop-Versionen wurde eine Warnung vor betrügerischen Seiten implementiert, die von einem großen Sprachmodell auf Basis von Inhaltsanalysen erkannt werden. Künstliche Intelligenz kommt im erweiterten sicheren Browsing-Modus des Browsers zum Einsatz. Das KI-Modell läuft clientseitig, aber bei Verdacht auf fragwürdige Inhalte wird eine zusätzliche Prüfung auf Google-Servern durchgeführt.
- Die Implementierung des für WebRTC-Verbindungen verwendeten DTLS-Protokolls (Datagram Transport Layer Security, ein TLS-Analogon für UDP) beinhaltet die Verwendung von Post-Quanten-Verschlüsselungsalgorithmen.
- Der während der Nutzung einer Seite festgelegte Aktivierungsstatus bleibt nun auch nach dem Wechsel zu einer anderen Seite derselben Domain erhalten. Dies vereinfacht die Entwicklung mehrseitiger Webanwendungen und löst Probleme wie die Fokussierung der Eingabe, wenn die virtuelle Tastatur angezeigt wird.
- Um die vorherigen und nächsten Markierungen relativ zur aktuellen Scrollposition (":target-current") zu definieren, wurden die CSS-Pseudoklassen ":target-before" und ":target-after" hinzugefügt.
- Style-Container (@container) und die if()-Funktion unterstützen nun die in der Media Queries Level 4-Spezifikation definierte Bereichssyntax. Diese ermöglicht die Verwendung von Standard-Vergleichsoperatoren und logischen Operatoren zur Definition von Wertebereichen. Beispielsweise können Sie jetzt "@container style(--inner-padding > 1em)" und "background-color: if(style(attr(data-columns, type))" angeben. ) > 2): hellblau; sonst: weiß);"
- Die Elemente "" und "" unterstützen nun das Attribut "interestfor". Mit diesem Attribut können Aktionen wie das Anzeigen eines Popups ausgelöst werden, wenn der Nutzer Interesse an dem Element zeigt. Der Browser erkennt Ereignisse wie das Bewegen des Mauszeigers über das Element, das Drücken von Tastenkombinationen oder das Berühren eines Touchscreens als Indikatoren für Interesse. Wird ein Element mit dem Attribut "interestfor" erkannt, generiert der Browser ein InterestEvent.
- Die Webentwickler-Tools wurden verbessert. In der oberen rechten Ecke wurde eine Schnellstartschaltfläche für den KI-Assistenten hinzugefügt. Der Kontextmenüpunkt „KI fragen“ wurde in „Mit KI debuggen“ umbenannt und um die Möglichkeit erweitert, kontextabhängige Sofortaktionen durchzuführen. In der Webkonsole und im Code-Panel kann der Gemini-KI-Assistent nun Empfehlungen per Code generieren.
Die Webentwickler-Tools sind jetzt in das Google Developer Program (GDP) integriert. Entwickler können nun direkt über die Chrome-Entwicklertools auf ihr GDP-Profil zugreifen und für die Erledigung bestimmter Aufgaben innerhalb dieser Oberfläche Prämien erhalten.
Neben neuen Funktionen und Fehlerbehebungen behebt die neue Version 20 Sicherheitslücken. Viele dieser Schwachstellen wurden durch automatisierte Tests mit AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Es wurden keine kritischen Schwachstellen gefunden, die es ermöglichen würden, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen. Im Rahmen des Bug-Bounty-Programms für diese Version hat Google 20 Prämien mit einem Gesamtvolumen von 130.000 US-Dollar ausgesetzt (zwei Prämien à 50.000 US-Dollar, eine Prämie à 10000 US-Dollar, drei Prämien à 3000 US-Dollar, zwei Prämien à 2000 US-Dollar und drei Prämien à 1000 US-Dollar). Die Höhe der Prämien für acht weitere Prämien steht noch nicht fest.
Zusätzlich wurde eine ungepatchte Sicherheitslücke in der Blink-Engine entdeckt, die beim Ausführen bestimmter JavaScript-Codeabschnitte zum Absturz und Einfrieren des Browsers führt. Die Schwachstelle beruht auf architektonischen Problemen der Rendering-Engine, die mit dem Fehlen einer Ratenbegrenzung für die Aktualisierung der Eigenschaft „document.title“ zusammenhängen. Durch diese fehlende Begrenzung können mit „document.title“ zig Millionen Änderungen pro Sekunde am DOM vorgenommen werden. Dies führt dazu, dass die Benutzeroberfläche innerhalb weniger Sekunden einfriert, da der Hauptthread blockiert wird und ein erheblicher Speicherverbrauch entsteht. Nach 15 bis 60 Sekunden stürzt der Browser ab.
Source: opennet.ru
