La société Google a publié la version du navigateur web Chrome 125. En parallèle, une version stable du projet libre Chromium, qui est la base de Chrome, est également disponible. Le navigateur Chrome se distingue de Chromium par l'utilisation des logos de Google, la présence d'un système d'envoi de notifications en cas d'écrasement, de modules pour la lecture de contenu vidéo protégé contre la copie (DRM), d'un système de mise à jour automatique, d'une activation constante de l'isolement Sandbox, de la fourniture de clés pour l'API Google et du transfert de paramètres RLZ lors de la recherche. Pour ceux qui ont besoin de plus de temps pour effectuer la mise à jour, une version Extended Stable est spécifiquement maintenue, accompagnée de 8 semaines de support. La prochaine version, Chrome 126, est prévue pour le 11 juin.
Les principales modifications dans Chrome 125 :
- La société Google a retardé l'arrêt tant attendu à la fin de l'année du support des cookies tiers, qui sont émis lors de la consultation de sites différents de de domaine la page actuelle (ces cookies sont utilisés pour suivre les mouvements des utilisateurs entre les sites dans le code des réseaux publicitaires, des widgets de réseaux sociaux et des systèmes d'analyse web). Dans la nouvelle version, pour identifier les sites qui utilisent des cookies tiers, un indicateur avec une image d'œil a été ajouté à la barre d'adresse, qui sera rayé en cas de blocage des cookies tiers. Étant donné que les tests de désactivation des cookies tiers continuent auprès de 1% des utilisateurs et qu'il est possible de les désactiver manuellement via le paramètre «chrome://flags/#test-third-party-cookie-phaseout», un menu contextuel a été mis en place pour permettre un retour temporaire au support des cookies tiers pour certains sites. L'annulation du blocage est valable pendant 90 jours après activation.
- Avec l'activation de la protection élargie du navigateur (Safe Browsing > Enhanced protection), une analyse approfondie automatique des fichiers téléchargés est mise en œuvre, effectuée via l'envoi d'informations à serveurs Google (auparavant, une demande de confirmation pour un vérification externe apparaissait avant l'envoi, mais cette vérification sera maintenant effectuée automatiquement).
- Des versions pour la plate-forme Windows sont maintenant également fournies pour la plate-forme ARM64.
- Un nouveau mécanisme a été ajouté pour la mise à jour des composants nécessitant le téléchargement de grandes quantités de données. Il s'agit de la mise à jour des modèles pour les nouvelles fonctionnalités récemment ajoutées, utilisant l'apprentissage automatique, comme le mode de regroupement intelligent des onglets, le générateur de thèmes et l'assistant interactif.
- Deux nouveaux types d'extensions potentiellement problématiques ont été ajoutés, pour lesquelles l'utilisateur recevra des avertissements avec des recommandations sur la pertinence de leur utilisation continue : les extensions installées en dehors du Chrome Web Store et celles qui utilisent des tactiques trompeuses pour imposer l'installation de logiciels indésirables.
- Le comportement d'annulation de l'événement «mousemove» a été aligné sur celui d'autres navigateurs: l'annulation de l'événement ne bloque plus les opérations de sélection de texte et de glisser-déposer (pour bloquer la sélection et le glisser-déposer, il convient d'annuler les événements selectstart et dragstart).
- Un ensemble de propriétés CSS a été ajouté pour contrôler l'affichage des éléments liés à la position d'autres éléments (CSS Anchor Positioning), sans utiliser JavaScript, par exemple, pour fixer des éléments de fenêtres contextuelles (popover) qui apparaissent comme des infobulles. Pour configurer l'anchorage d'un élément à un autre et définir la zone d'affichage, les propriétés anchor-name, position-anchor et inset-area ont été proposées, et la fonction anchor() a été ajoutée pour obtenir des informations sur le lieu de l'ancorage.
- Des fonctions mathématiques round(), mod() et rem() ont été ajoutées en CSS.
- Une nouvelle syntaxe pour refléter l'état des éléments HTML personnalisés (custom element) en CSS a été ajoutée, permettant d'utiliser le pseudo-classe «:state()».
- Une API Compute Pressure a été ajoutée, permettant d'obtenir des informations de haut niveau sur l'état actuel du matériel, par exemple, elle permet d'obtenir des informations générales sur la charge générée sur le CPU (des niveaux sont indiqués : faible charge avec activation de l'économie d'énergie ; charge acceptable permettant de lancer des tâches supplémentaires sans problème ; charge élevée, mais dans des limites acceptables et ne perturbant pas le fonctionnement du système ; charge critique, proche de l'épuisement des ressources).
- L'API d'accès au stockage permet de demander à l'utilisateur des autorisations pour accéder au stockage des cookies, lorsque les cookies tiers sont bloqués, et a été étendue par la possibilité de demander l'accès à partir de gestionnaires tiers (par exemple, depuis du contenu à l'intérieur d'un ) à des stockages non liés aux cookies, tels qu'IndexDB.
- Ajout d'un support expérimental (essai d'origine) pour l'API d'énumération des segments de viewport, destinée à organiser la sortie sur des appareils à écran pliable.
- Il est désormais possible d'utiliser les schémas d'URL HTTP et HTTPS dans le constructeur WebSocket au lieu des schémas « ws: » et « wss: ».
- En JavaScript, il est permis d'utiliser les modificateurs « ?i », « ?-i », « ?m », « ?-m », « ?s », « ?-s » à l'intérieur des expressions régulières pour contrôler l'activation ou la désactivation des flags « i », « s » et « m ». Par exemple, « ?-i » dans « re1 = /^[a-z](?-i:[a-z])$/i; » désactive l'application de « /i » (ignorant la casse) pour le deuxième caractère (re1.test("aB") renverra false).
- Des améliorations ont été apportées aux outils pour les développeurs web. Un bouton a été ajouté dans la console web pour afficher une explication de l'erreur ou de l'avertissement, généré par une demande au chatbot AI Gemini. La fenêtre CSS a ajouté un support pour les règles « @position-try ». Dans la fenêtre d'édition et de visualisation du code source de la page, des options ont été ajoutées pour formater les pages empaquetées en un format lisible et pour la fermeture automatique des parenthèses lors de l'édition. Dans le panneau de suivi de l'activité réseau, un support a été ajouté pour les en-têtes HTTP utilisés dans les réponses avec le code 103 « Early Hints ». Le panneau d'analyse de performance a été amélioré avec des statistiques sur les sélecteurs CSS.
En plus des nouvelles fonctionnalités et corrections de bogues, la nouvelle version a corrigé 9 vulnérabilités. Beaucoup de ces vulnérabilités ont été découvertes grâce à des tests automatisés effectués par des outils tels qu'AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. La vulnérabilité CVE-2024-4947, causée par le traitement incorrect des types (Type Confusion) dans le moteur V8 et classée comme critique, a été exploitée par des attaquants pour mener des attaques (0-day) avant d'être corrigée. Aucun problème critique permettant de contourner tous les niveaux de protection du navigateur et d'exécuter du code en dehors de l'environnement sandbox n'a été identifié. Dans le cadre du programme de récompense pour la découverte de vulnérabilités pour cette version, Google a versé 4 primes totalisant 8 000 dollars américains (une prime de 7 000 $, une autre de 1 000 $). Le montant de deux de ces primes n'est pas encore déterminé.
Source : opennet.ru
