Web-brauseri Chrome 141 väljalase

Google on välja andnud versiooni veebibrauserist Chrome 141. Samuti on saadaval stabiilne vabakäiguprojekti Chromium versioon, mis on Chrome'i alus. Chrome erineb Chromiumist selle poolest, et kasutab Google'i logosid, sisaldab süsteemi krahhi korral teavitamiseks, DRM-i kaitstud videokontentide esitamise mooduleid, automaatset uuenduste installimise süsteemi, pidevat Sandbox-isolatsiooni ja togomahtude Google API võtmeid ning edastab RLZ-parameetreid otsingul. Need, kes vajavad rohkem aega uuendamiseks, saavad eraldi toetust Extended Stable harust, mis kestab 8 nädalat. Järgmine Chrome 142 väljaanne on planeeritud 28. oktoobril.

Peamised muudatused Chrome 141-s:

• Osadele kasutajatele on aktiveeritud brauserisse integreeritud juturobot Gemini, mis suudab selgitada vaatamise all oleva lehe sisu ja vastata lehega seotud küsimustele, ilma et nad vahekaardi vahetaksid. Gemini esilekutsumiseks on ekraani paremas ülanurgas nupp, millele vajutades kuvatakse dialoog, mis võimaldab esitada küsimusi loomulikus keeles ja valida vahekaardid, mille sisu AI peab arvesse võtma vastuse koostamisel. Toetatakse tekstilisi ja häälsuhtluse vorme robotiga. See võimalus on saadaval USA kasutajatele, kellel on juurdepääs Gemini rakendusele ja kes kasutavad platvorme macOS, iOS ja Windows.
• On lisatud kaitse kohaliku süsteemi (loopback, 127.0.0.0/8) või sisemise võrgu (192.168.0.0/16, 10.0.0.0/8 jne) poole pöördumise vastu, kui suheldakse avalike saididega. Kui kasutaja proovib laadida sisemisi ressursse, kuvab brauser nüüd dialooge, mis küsib operatsiooni kinnitust. Sisemistele ressurssidele pöördumine on kurjategijate poolt kasutatud CSRF-rünnakute teostamiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliideseid ja teistele seadmetele ja teenustele, mis aktsepteerivad taotlusi ainult kohalikust võrgust. Lisaks saab sisemiste ressursside skaneerimise kaudu teha kaudse tuvastamise või koguda teavet kohalikus võrgus.
• On alustatud üleminekut granuleerituma protsesside isolatsioonimudelile — „Origin Isolation”, mille käigus iga sisu allikas (origin — protokolli, hosti ja porta kinnitus)... domeen ja ja port, näiteks "https://foo.example.com"), isoleeritakse eraldi renderdamise protsessis. Kuna isoleerimise killustumise suurenemine võib põhjustada mälutarbimise ja CPU-koormuse kasvu, lülitatakse uus isoleerimisrežiim sisse ainult süsteemides, millel on rohkem kui 4 GB RAM-i. Madala võimsusega seadmetes jätkatakse vana isoleerimise lähenemiselt, kus kõik erinevad sisu allikad, mis on seotud ühe veebisaidiga (nt foo.example.com ja bar.example.com), isoleeritakse eraldi protsessis. Selle võimalus on hetkel aktiveeritud vaid osale kasutajatest, hõlmatus kasvab järk-järgult.
• Kasutusse on võetud „Same Origin“ poliitika rakendamine API Storage Access API jaoks. Kutsudes „document.requestStorageAccess()“ koodist, mis on laaditud iframe'ist teiselt veebisaidilt, katab see vaikimisi nüüd ainult veebisaiti, kust see iframe on laaditud, mitte veebisaiti, kuhu iframe on paigaldatud.
• Kliendi poolele on lisatud heuristika, et tuvastada välistele veebisaitidele suunatud otsingupäringute pealetungi või suunamise katseid, mida sisestatakse aadressiribale või lehele, mis kuvatakse uue vahekaartide avamisel. Sellist pealetungi rakendavad mõned pahatahtlikud laiendused. Kontroll toimub kasutaja sisestatud päringute ja otsingutulemustega lehe ilmumise võrdlemise kaudu. Kui avastatakse, et on aset leidnud asendamine Safe Browsing režiimis, siis server Google'ile saadetakse telemeetriat, et saada põhjalikumat analüüsi, arvestades erinevate kasutajate telemeetriat.
• Uue vahekaartide avamise lehe alumises paneelis, kus kuvatakse teavet laiendite kohta, mis mõjutavad uue vahekaartide lehe sisu, on tagatud teabe kuvamine seadme toimimise kohta, millega rakendatakse keskset haldust.
• Süsteemides, kus kasutajaprofiilid on seotud kolmandate osapoolte autentimisteenustega, on rakendatud kaugadministratsiooni käsu täitmise võimalus, näiteks vahemälu või küpsiste kustutamiseks.
• IndexedDB API-s on realiseeritud meetod getAllRecords(), mis võimaldab välja võta kõik kirjed objektihoidlast (IDBObjectStore) ja indeksist (IDBIndex). getAllRecords() kombineerib endas getAllKeys() ja getAll() meetodite funktsionaalsuse, et väljendada nii esmast võtit kui ka sellega seotud väärtusi. Meetoditele getAll() ja getAllKeys() on lisatud parameeter 'direction', et määrata välja tõmbamise suund, mis võimaldab kiirendada teatud lugemisoperatsioone võrreldes kursori kasutamisega.
• Lisatud API 'WebRTC Encoded Transform' kodeeritud multimeediaandmete töötlemiseks, mida edastatakse läbi RTCPeerConnection.
• Lisa to support 'width' ja 'height' atribuute sisse sisestatavate elementide jaoks, mille suurust saab hallata CSS-i või SVG-märgistuse kaudu.
• On tehtud parandusi veebiarenduse tööriistadesse. Lisatud eksperimentaalne MCP (Model Context Protocol) server, mis võimaldab juurdepääsu Chrome DevTools'i funktsioonidele välistest AI-assistentidest.

Informatsioon parandatud turvaauku kohta kuulutuste ja muudatuste jälgimise ajal puudub.

Täiendav info: Ühe päeva jooksul pärast väljaandmist avaldati teave parandatud turvaaukude kohta. Chrome 141-s on parandatud 21 haavatavust. Palju neist haavatavustest tuvastati automatiseeritud testimise tööriistade AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL abil. Ükspuha milliseid kriitilisi probleeme, mis võimaldavad ületada kõik brauseri kaitseastmed ja käitada koodi süsteemis väljaspool liivakasti, ei tuvastatud. Praeguse väljaande haavatavuste avastamise rahalise preemia programmi raames on Google välja maksnud 12 preemiat kokku 50 000 USA dollari ulatuses (üks preemia $25000, $5000, $4000 ja $2000, neli preemiat $3000 ja kaks preemiat $1000). Ühe preemia suurus on veel määramata.

Allikas: opennet.ru