Google ha rilasciato la versione 136 del browser web Chrome. È contemporaneamente disponibile la versione stabile del progetto open source Chromium, che è la base di Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, per la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), per il sistema di aggiornamenti automatici, per la costante attivazione della modalità Sandbox, per la fornitura di chiavi per le API di Google e per la trasmissione dei parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per gli aggiornamenti, è supportata separatamente una versione Extended Stable, che viene aggiornata ogni 8 settimane. Il prossimo rilascio di Chrome 137 è programmato per il 27 maggio.
Le principali novità in Chrome 136:
- È stata aggiunta la protezione contro la fuga di informazioni relative a pagine precedentemente visitate, causata dall'uso del pseudo-classe CSS «:visited», che consente di personalizzare lo stile dei collegamenti precedentemente aperti. Fino alla versione 136 di Chrome, cliccare su un collegamento modificava lo stile di quel collegamento su tutti i siti che lo mostravano, indipendentemente da quale sito fosse stato utilizzato per iniziare la navigazione. Sul proprio sito, un attaccante poteva determinare se un utente avesse aperto precedentemente collegamenti di interesse, analizzando la modifica dello stile di quei collegamenti. Ad esempio, se si crea un elenco di collegamenti a diverse pagine, le pagine precedentemente visitate in quell'elenco saranno contrassegnate dal browser con un colore diverso, da cui si può dedurre se i collegamenti siano stati aperti in precedenza.
Per bloccare le perdite di informazioni sui link visitati in Chrome, è stata implementata l'isolamento della gestione del selettore «:visited» in relazione al sito web visitato, cioè, gli elementi ora vengono stilizzati con «:visited» solo se sono stati precedentemente aperti dallo stesso sito e in relazione all'attuale iframe. L'isolamento è stato realizzato tramite l'hashing dello stile dei link visitati, utilizzando come chiave tre componenti: il link, il sito di origine e l'host utilizzato nell'iframe.
Ad esempio, se dal sito «A» è stato cliccato un link, questo link ora sarà evidenziato solo sul sito «A» e rimarrà invariato sul sito dell'attaccante. Un'eccezione è fatta solo per gli iframe caricati dal sito principale (same-origin) e per i link al sito attuale. Pertanto, aprendo il sito «A», i link che portano al sito «A» saranno evidenziati anche se erano stati visitati da un altro sito, mentre gli altri link saranno evidenziati solo se i clic provenivano dal sito «A».
In Firefox, protection against such leaks was introduced in 2010, but methods to bypass it existed. For example, in 2024, Firefox 122 eliminated the ability to analyze pixel colors using filters with the currentColor parameter and manipulations with the canvas tag in SVG.
- The Android version has implemented the transmission of server Google telemetry with data about APK packages downloaded through the browser. So far, the functionality is limited to sending telemetry, but in the future, it will be used to issue warnings and block the download of malicious APK files. The check is performed only when the extended protection mode of the browser is enabled in settings (Safe Browsing > Enhanced protection).
- Per il debugging remoto è ora necessario specificare una directory separata per i dati, da impostare all'avvio utilizzando il parametro «—user-data-dir», che deve essere fornito insieme al parametro «—remote-debugging-pipe» o «—remote-debugging-port». Utilizzando la directory predefinita su Windows, Linux e macOS, il debugging remoto non funzionerà più. La causa di questa modifica è la lotta contro il malware che utilizza il debugging remoto per estrarre dati da Google Chrome. Utilizzando una directory separata, viene applicata una chiave di crittografia diversa, che non consente l'accesso ai dati di lavoro dell'utente nella directory principale. La modifica si applica solo a Chrome e non a Chromium.
- L'aspetto delle barre di scorrimento è stato migliorato su piattaforme Linux e Windows. Quando non è attiva, la barra di scorrimento è nascosta e appare solo quando si riprende a muoversi nella pagina. Per gestire l'attivazione del nuovo aspetto delle barre di scorrimento sono disponibili le impostazioni chrome://flags#fluent-overlay-scrollbars e chrome://flags#fluent-scrollbars.
- Nella funzione CSS attr(), l'argomento di tipo «string» è stato rinominato in «raw-string», in linea con la decisione del gruppo di lavoro che coordina lo sviluppo delle specifiche CSS. Questa modifica è stata introdotta per evitare confusione a causa della somiglianza tra le espressioni «attr(foo type())» e «attr(foo string)».
- Nell'API ProgressEvent, utilizzato per creare indicatori di progresso, nei attributi «loaded» e «total» è stato cambiato il tipo da «unsigned long long» a «double», in conformità con il comportamento dell'elemento HTML
- Per l'escaping delle stringhe utilizzate all'interno delle espressioni regolari, è stato proposto un metodo statico «RegExp.escape». Le stringhe scappate tramite RegExp.escape possono essere utilizzate in modo sicuro come modelli nel costruttore RegExp().
- È consentita la creazione automatica di chiavi Passkey per il sito basata su credenziali già memorizzate. La creazione della Passkey avviene senza la visualizzazione di un dialogo modale separato, se l'utente ha già confermato la creazione delle credenziali per il sito.
- Aggiunto la proprietà CSS dynamic-range-limit per limitare la luminosità massima dei contenuti HDR.
- Nelle Regole API Speculation (), utilizzate per configurare il caricamento proattivo delle risorse, è consentita l'indicazione di un campo opzionale "tag" per monitorare la fonte. Il contenuto di questo campo verrà inviato tramite l'intestazione HTTP Sec-Speculation-Tags.
- In WebRTC e nell'API MediaRecorder è stato aggiunto il supporto per il codec H265 (HEVC), oltre ai codec precedentemente supportati VP8, H.264, VP9 e AV1.
- Negli strumenti per sviluppatori web sono state ampliate le funzionalità del pannello per l'analisi delle prestazioni. Sono stati aggiunti rapporti sulle richieste che utilizzano il vecchio protocollo HTTP/1.1, sull'efficienza della gestione della cache e sull'ottimizzazione tramite la proprietà font-display. Nella pagina "Privacy e sicurezza > Privacy > Cookie di terze parti" è stata aggiunta la possibilità di cercare singoli cookie. È stata aggiunta un'opzione sperimentale per visualizzare suggerimenti sui problemi con gli elementi e gli attributi nel DOM.
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono state risolte 8 vulnerabilità. Molte di queste vulnerabilità sono state identificate attraverso test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche che consentano di bypassare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità relative a questo rilascio, Google ha erogato 4 premi per un totale di 10.000 USD (un premio da 5.000 USD, due premi da 2.000 USD e uno da 1.000 USD).
Fonte: opennet.ru
