Chrome 150 väljaanne

Google avaldas veebibrauseri Chrome 150 väljaande. Samuti on saadaval stabiilne vabavaraline projekt Chromium, mis on Chrome'i alus. Brauser Chrome erineb Chromiumist Google'i logode, riistvara jõudluse testimise süsteemi, DRM-i videote esitamise moodulite, automaatsete värskenduste installimise süsteemi, pideva Sandbox-isolatsiooni lubamise, Google API võtmete täiustatud edastamise ja RLZ-parameetrite edastamise vahel otsingus. Neile, kellele on rohkem aega värskendamiseks vajalik, toetatakse eraldi Extended Stable haru, mis kestab 8 nädalat. Järgmine Chrome 151 väljaanne on planeeritud 28. juuliks.

Peamised muudatused Chrome 150 (1, 2, 3, 4):

• Esitatud esimesed tulemused algatusest, et uuendada kasutajaliidese kujundust erinevates operatsioonisüsteemides ja vabaneda liialdustest. Kasutusele on võetud uued ikoonid, millel on sujuvamad servad ja animatsiooniefektid nuppudel, nagu peamenüü ja lehe uuesti laadimise nupud. Konteksti menüüde struktuuri on lihtsustatud, eemaldades harva kasutatavad või dubleeritud elemendid. Kasutusele on võetud kaasaegsem disain seadistuste, allalaadimishalduri ja raamatute navigeerimise lehe jaoks.
• AI-režiimi arendamine on jätkub, võimaldades suhelda AI-agendiga aadressiribalt või avatud uute ühte kupli lehelt. Uues versioonis on lisatud võimalus ühenduda Chrome'i ja AI-agendi Gemini Sparkga, et iseseisvalt teostada toiminguid aktiivse vahekaardiga seoses, et lahendada ülesandeid, mis nõuavad suhtlemist veebisisuga (nuppudele klikkimine, linkidele minemine, vormide täitmine jms). Samuti on lisatud kontekstitasulisi soovitusi Gemini kasutamiseks brauseris, näiteks kui avaneb suur artikkel, pakub Chrome kokkuvõtete tegemist Gemini abil; vormi redigeerimise ajal soovitab, et kontrollige või parandage teksti Gemini kaudu.
• Mõnel kasutajal on seadistatud lihtsustatud liides Google'i konto sidumiseks ja andmete, nagu salvestatud paroolid ja järjehoidjad, sünkroonimiseks. Sünkroonimine on integreeritud kontole sisselogimisega ja ei esitatakse eraldi võimalusena seadistustes. Kasutajad saavad Chrome'i siduda oma Google'i kontoga ja kasutada seda paroolide, järjehoidjate, külastusajaloo ja vahelehtede salvestamiseks. Aadresside automaatne täitmine ja sisendi automaatne täiendamine ei sünkroonita enam seadmete vahel ning need salvestatakse ainult kohaliku süsteemi juurde.
• Mõnel kasutajal, kes on aktiveerinud brauseri täiustatud kaitse režiimi (Enhanced Safe Browsing), on aktiveeritud funktsioon 'HTTPS-First', mis suunab automaatselt HTTP-päringud HTTPS-i. Et tagada juurdepääs saitidele, mis ei toeta HTTPS-i, on rakendatud tagasikäik HTTP-le, kui HTTPS-i suunamisel ei õnnestu päringut täita või esinevad sertifikaadi probleemid. HTTP kaudu saidi avamisel kuvatakse spetsiaalne hoiatusteade. Chrome 154 versioonis plaanitakse see režiim vaikimisi lubada kõikidel avalikelt saitidel, mis ei asu sisevõrkudes, nagu 192.168.0.1 või 10.0.0.0/8.
• Kustutatud on koodilipp kExtensionManifestV2Disabled, mis võimaldas Chrome'i veebipoest installida täiendusi, mis kasutavad teist versiooni Chrome'i manifestist. Järgmises Chrome 151 väljalanges eemaldatakse parameeter AllowLegacyMV2Extensions, mis võimaldas arendaja režiimis manuaalselt laadida teise versiooni manifestil põhinevaid täiendusi. Need lipud võimaldasid täienduse uBlock Origin vahetut installimist.
• Veebi töötluse (Web Worker) käsitlejad, mis on loodud URI 'data:' abil (näiteks läbi 'new Worker(‘data:text/javascript….’)'), on nüüd isoleeritud lehe kontekstist, kus need loodi, ja ei pääse kohalikele salvestusruumidele ega küpsistele senises kontekstis. domeenMuutmine võimaldab blokeerida selliseid Web Worker-e, mis ei ole laaditud, serveriltvaid mida on jooksva protsessi käigus loodud loobides 'data:', et neile konfidentsiaalsetele andmetele XSS-rünnakute ajal juurde pääseda.
• Tehnoloogia on välja töötatud kaitseks rünnakute eest, mis manipuleerivad maksimaalse ühenduste arvu piirarvuga proksi serverites, luues varjatud suhtluskanali JavaScripti koodi vahel, mis töötab erinevates vahekaartides, või kindlaksmääramiseks, kas teatud veebisaiti on varem külastatud. Näiteks võib ründaja hõivata kõik saadaval olevad ühendused proksisse, jättes vaba ainult ühe soketi, mille kaudu saab analüüsida selle kättesaadavust staatilise ressursi küsimisel – kui soket on vaba, on ressurss sellelt veebisaidilt saadud vahemälust, st kasutaja on selle juba varem alla laadinud. Proksi TCP sokettide maksimaalse ühenduste arvu piir on nüüd juhuslikult varieeruv.
• SVG-filtreid on keelatud kasutada kõrvaliste (cross-origin) või isoleeritud (sandboxed) iframe-plokkide ning pistikprogrammide (nt sisseehitatud PDF-vaataja) puhul. See piirang aitab kaitsta kõrvaliste kanalite rünnakute, näiteks GPU.zip rünnakute ja SVG Clickjacking rünnakute vastu, kus SVG filtreid kasutatakse läbipaistva sisu kilede peal asetamiseks, et asendada nähtamatud nupud, näiteks reklaami sulgemise nupu kohal.
• Iseseisvates veebirakendustes (PWA, Progressive Web App) on võimalik viia oma rakendus uuele alamdomeenile samas põhidomeenil (nt drive.example.com asendamine fileman.example.com), ilma kasutaja sekkumiseta (varasemalt oli PWA rakendus seotud algse domeeniga ja alamdomeeni muutmisel, näiteks brändingu või restruktureerimise puhul, oli vajalik käsitsi uuesti installimine).
• TLS-is on vaikimisi sisse lülitatud ML-DSA (CRYSTALS-Dilithium) digitaalallkirjastamise algoritmi tugi, mis on kvantarvutite rünnakute suhtes vastupidav.
• Androidi versioonis on rakendatud FIDO Alliance Credential Exchange standardi tuki, mis võimaldab importida ja eksportida salvestatud salasõnu ja biomeetrilise autentimise parameetreid, kasutades klientpoolset krüpteerimist, näiteks Google Password Manageri ja kolmandate osapoolte paroolihaldurite vaheliseks turvaliseks edastamiseks.
• Androidi versioonis on konfigureerijas pakutud uus ühtne liides salvestatud paroolide ja automaatse täitmise andmete haldamiseks. Idee on selles, et kasutaja saaks korraga teavet erinevate salvestatud brauseri konfidentsiaalsete andmete klasside kohta, nagu paroolid, biomeetrilise autentimise andmed, aadressid ja passid.
• Lisatud on CSS-omandus „text-fit”, mis automaatselt skaleerib fondi suurust, nii et tekst mahub vanemkonteineri laiusesse (näiteks kui on vaja paigutada pealkiri antud alale ilma sabatükkide üleminekuta teisele reale või kohandada fondi erinevatele ekraanisuurustele).
• CSS-omandis „background-clip” on lisatud toetus parameetrile „border-area”, mis lihtsustab gradientide loomise piire, joonistades elemendi tausta rangelt ala sisse, mida raamiga hõivatakse.
• Lisatud on CSS-funktsioon image(), mis võimaldab genereerida pildi antud värviga täitmiseks.
• Origini katsetuste režiimis on alustatud EVP (elektronposti kontrollimise protokolli) protokolli testimist, et automaatselt krüptograafiliselt kinnitada emaili omamist ilma vajaliketa saata ühekordseid koodide kinnitusi postkasti.
• Lisatud on HTML-atribuut focusgroup, et deklareerivalt juhtida fookuse vahetust klaviatuuri sees komposiitkomponentides, nagu menüü, ilma JavaScripti kasutamata. Näiteks pärast grupist lahkumist klaviatuuriga Tab ja tagasipöördumist, tagastab brauser fookuse viimasena aktiivsele elemendile, mitte esimesele elemendile loendis.
• Parandusi on tehtud veebiarendajate tööriistadele. Täiendavad võimalused WebMCP tööriistade inspektimise ja silumise jaoks, mida kasutatakse saitide integreerimiseks AI-agentidega MCP protokolli abil. Styles-paneelis on lubatud „@container”, „@counter-style” ja „@function” reeglite kohapealne redigeerimine.

Uues versioonis on lisaks uuendustele ja vigade parandamisele kõrvaldatud 433 haavatavust. Paljusid haavatavusi tuvastati automatiseeritud testimise käigus tööriistade AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL abil. Kaksteist probleemide korral on määratud kriitiline ohtlikkuse tase, mis tähendab, et haavatavused võimaldavad mööda minna kõikidest brauseri kaitsetasemetest ja käivitada süsteemis koodi väljaspool liivakasti keskkonda. 14 kriitilist probleemi on põhjustatud juba vabastatud mälule juurdepääsust (use-after-free), 3 - ebapiisav usaldusväärsete sisendite kontroll, 2 - puhverülekandest ja 1 - vale tüüpide töötlemisest (Type Confusion). Haavatavuste avastamise preemia programmi raames maksis ettevõte Google selle versiooni jaoks kokku 319 tuhat USA dollarit (üks preemia 250 tuhat dollarit (CVE-2026-14382 ANGLE raamatukogus), kolm preemiat summas $10000, $2500, $2000 ja $1000, kaks preemiat $3000 ja üks preemia igaühe jaoks $8000, $5000 ja $4000.

Allikas: opennet.ru