Google ha rilasciato la versione del browser web Chrome 141. È disponibile anche la versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi di Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di installazione automatica degli aggiornamenti, la sandboxing costante e la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, esiste un ramo Extended Stable, supportato per 8 settimane. Il prossimo rilascio di Chrome 142 è previsto per il 28 ottobre.
Principali modifiche in Chrome 141:
- Per alcuni utenti, è attivato il chatbot integrato nel browser Gemini, che può spiegare il contenuto della pagina in visualizzazione e rispondere a domande correlate senza dover cambiare scheda. Nell’angolo in alto a destra dello schermo è stata aggiunta un pulsante per richiamare Gemini, che, una volta premuto, apre un dialogo per porre domande in linguaggio naturale e selezionare le schede il cui contenuto deve tener conto l'AI nella formulazione delle risposte. Sono supportate comunicazioni testuali e vocali con il bot. Questa funzionalità è disponibile per gli utenti negli Stati Uniti che hanno accesso all'app Gemini e utilizzano piattaforme macOS, iOS e Windows.
- È stata attivata la protezione contro l'accesso al sistema locale (loopback, 127.0.0.0/8) o alla rete interna (192.168.0.0/16, 10.0.0.0/8, ecc.) durante l'interazione con siti pubblici. Quando si tenta di caricare risorse interne, il browser mostrerà ora all'utente un dialogo per confermare l'operazione. L'accesso a risorse interne viene sfruttato dai malintenzionati per eseguire attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Inoltre, la scansione delle risorse interne può essere utilizzata per identificazioni indirette o per raccogliere informazioni sulla rete locale.
- È iniziato il passaggio a un modello di isolamento dei processi più granulare — «Origin Isolation», in cui ogni origine del contenuto (origin — unione di protocollo, di dominio e porta, ad esempio, «https://foo.example.com»), viene isolato in un processo di rendering separato. Poiché l'aumento della frammentazione dell'isolamento può portare a un maggiore consumo di memoria e a un aumento del carico sulla CPU, la nuova modalità di isolamento viene attivata solo sui sistemi con più di 4 GB di RAM. Su hardware meno potente continuerà a essere utilizzato il vecchio approccio all'isolamento, in cui tutti i diversi fonti di contenuto associate a un sito (come foo.example.com e bar.example.com) vengono isolate in un processo separato. Questa funzionalità è attualmente attivata per alcuni utenti, e la copertura aumenterà gradualmente.
- È attivata l'applicazione della politica «Same Origin» per l'API Storage Access API. La chiamata «document.requestStorageAccess()» dal codice caricato tramite iframe da un altro sito, ora per impostazione predefinita coprirà solo il sito da cui è stato caricato questo iframe, e non il sito in cui è ospitato l'iframe.
- È stata aggiunta una logica euristica per rilevare sul lato client l'intercettazione o il reindirizzamento verso siti esterni delle query di ricerca inserite nella barra degli indirizzi o sulla pagina visualizzata all'apertura di una nuova scheda. Tale intercettazione è utilizzata da alcune estensioni dannose. Il controllo avviene confrontando le query inserite dall'utente con l'apparizione della pagina dei risultati di ricerca. In caso di rilevamento di sostituzioni in modalità Safe Browsing, a un server Google viene inviata telemetria per un'analisi più dettagliata, che tiene conto della telemetria proveniente da diversi utenti.
- Sulla pagina di apertura della nuova scheda, nella barra inferiore, dove vengono mostrate le informazioni sulle estensioni che influenzano il contenuto della pagina della nuova scheda, è stata garantita la visualizzazione di informazioni sul funzionamento del dispositivo a cui si applica la gestione centralizzata.
- Nei sistemi con profili utente collegati a fornitori di autenticazione di terze parti, è stata implementata la possibilità di eseguire comandi di amministrazione remoti, ad esempio per svuotare la cache o i cookie.
- Nell'API IndexedDB è stato implementato il metodo getAllRecords(), che consente di estrarre tutte le registrazioni dallo store di oggetti (IDBObjectStore) e dall'indice (IDBIndex). getAllRecords() unisce la funzionalità dei metodi getAllKeys() e getAll() per estrarre sia le chiavi primarie che i valori associati. Nei metodi getAll() e getAllKeys() è stato aggiunto il parametro «direction» per determinare la direzione di estrazione dei dati, consentendo di accelerare alcune operazioni di lettura rispetto all'uso dei cursori.
- È stato aggiunto l'API «WebRTC Encoded Transform» per il trattamento di dati multimediali codificati trasmessi tramite RTCPeerConnection.
- È stato aggiunto il supporto per gli attributi «width» e «height» per gli elementi incorporati , le cui dimensioni possono essere controllate tramite CSS o markup SVG.
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. È stato aggiunto un server MCP (Model Context Protocol) sperimentale, che consente di accedere alle funzionalità di Chrome DevTools da assistenti AI esterni.
Le informazioni sulle vulnerabilità corrette non sono disponibili nell'annuncio e nel tracker delle modifiche al momento della scrittura della notizia.
Aggiornamento: A un giorno dal rilascio, sono emerse informazioni sulle vulnerabilità corrette. In Chrome 141 sono state risolte 21 vulnerabilità. Molte di queste vulnerabilità sono state rilevate grazie ai test automatizzati condotti con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state individuate problematiche critiche che consentano di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di premio per la scoperta di vulnerabilità per il rilascio attuale, Google ha assegnato 12 premi per un totale di 50.000 dollari USA (un premio di $25000, $5000, $4000 e $2000, quattro premi di $3000 e due di $1000). L'importo di un premio specifico non è stato ancora definito.
Fonte: opennet.ru
