Google ha pubblicato la versione del browser web Chrome 150. È contemporaneamente disponibile una versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici, l'attivazione permanente della sandbox e la fornitura delle chiavi per le API di Google, nonché per il passaggio dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per gli aggiornamenti, è supportata una versione Extended Stable, che viene mantenuta per 8 settimane. Il prossimo rilascio di Chrome 151 è previsto per il 28 luglio.
Le principali novità di Chrome 150 (1, 2, 3, 4):
- Sono stati presentati i primi risultati dell'iniziativa per l'aggiornamento dell'interfaccia su diverse piattaforme operative, con l'obiettivo di semplificarla. Sono state introdotte nuove icone con bordi più arrotondati e effetti animati per i pulsanti, come quelli per aprire il menu principale e ricaricare la pagina. La struttura dei menu contestuali è stata semplificata, eliminando gli elementi raramente utilizzati o duplicati. È stato implementato un design più moderno per il configuratore, il gestore dei download e la pagina di navigazione delle schede.
- È proseguito lo sviluppo della modalità AI, che consente di interagire con l'agente AI dalla barra degli indirizzi o dalla pagina visualizzata all'apertura di una nuova scheda. Nella nuova versione è stata aggiunta la possibilità di collegare Chrome all'agente AI Gemini Spark per eseguire azioni in modo autonomo nella scheda attiva durante la risoluzione di compiti che richiedono interazione con contenuti web (come clic su pulsanti, navigazione su link, compilazione di moduli, ecc.). Inoltre, sono state aggiunte raccomandazioni contestuali su come utilizzare Gemini durante la navigazione nel browser; ad esempio, all'apertura di un lungo articolo, Chrome suggerirà di fornire un riepilogo delle informazioni tramite Gemini, mentre durante l'editing di un testo in un modulo consiglierà di controllare o correggere il testo attraverso Gemini.
- Per alcuni utenti, è disponibile un'interfaccia semplificata unica per l'associazione all'account Google e la sincronizzazione dei dati, come password salvate e segnalibri. La sincronizzazione è integrata con l'accesso all'account e non è presentata come una funzionalità separata nelle impostazioni. Gli utenti possono collegare Chrome al proprio account Google e utilizzarlo per memorizzare password, segnalibri, cronologia di navigazione e schede. I dati per l'autocompletamento degli indirizzi e l'autocompletamento dell'input ora non vengono più sincronizzati tra i dispositivi e vengono memorizzati solo sul sistema locale.
- Alcuni utenti che hanno attivato la modalità di protezione avanzata del browser (Enhanced Safe Browsing) hanno abilitato la funzione «HTTPS-First», che esegue automaticamente il reindirizzamento delle richieste HTTP a HTTPS. Per garantire il funzionamento con siti che non supportano HTTPS, è previsto un ritorno a HTTP se, dopo il reindirizzamento, non è possibile eseguire la richiesta su HTTPS o si verificano problemi con i certificati. Quando si tenta di aprire un sito tramite HTTP, viene visualizzato un avviso speciale. In Chrome 154, questa modalità sarà attivata di default per tutti i siti pubblicamente accessibili, non ospitati nelle reti intranet, come 192.168.0.1 e 10.0.0.0/8.
- Rimossa la supporto per il flag kExtensionManifestV2Disabled, che consentiva di ripristinare la possibilità di installare estensioni dal Chrome Web Store che utilizzano la seconda versione del manifesto di Chrome. Nella prossima versione di Chrome 151 sarà rimosso il parametro AllowLegacyMV2Extensions, che consentiva di caricare manualmente estensioni basate sulla seconda versione del manifesto in modalità sviluppatore. I flag contrassegnati consentivano una soluzione alternativa per installare l'estensione uBlock Origin.
- I gestori dei Web Worker, creati con URI «data:» (ad esempio, tramite «new Worker('data:text/javascript…')»), ora sono isolati dalla pagina in cui sono stati creati e non hanno accesso a storage locali e ai cookie nel contesto attuale. di dominioQuesta modifica consente di bloccare l'uso dei Web Worker non caricati da server, ma creati dinamicamente tramite «data:», per accedere a dati sensibili durante attacchi XSS.
- È stata implementata una protezione contro attacchi che manipolano il limite massimo di connessioni ai proxy come canale nascosto di comunicazione tra codice JavaScript eseguito in diverse schede, o per determinare se un determinato sito è stato visitato precedentemente. Ad esempio, un attaccante può occupare tutte le connessioni disponibili al proxy, lasciando un solo socket libero, per poi analizzarne la disponibilità quando si accede a una risorsa statica: se il socket è libero, la risorsa del sito verificato viene fornita dalla cache, cioè l'utente l'ha già caricata in precedenza. Il limite massimo di connessioni ai socket TCP dei proxy ora varia in modo casuale.
- L'uso dei filtri SVG è vietato su iframe di origine esterna (cross-origin) o isolati (sandboxed), così come su plugin (ad esempio, il visualizzatore PDF integrato). Questo limite aiuta a proteggere da attacchi attraverso canali esterni, come GPU.zip, e attacchi di tipo SVG Clickjacking, dove i filtri SVG vengono utilizzati per sovrapporre contenuti trasparenti ad altri contenuti con l'intento di inserire un pulsante invisibile, ad esempio, sopra il pulsante di chiusura di una finestra pubblicitaria.
- Per le web app isolate (PWA, Progressive Web App) è possibile trasferire a un nuovo sottodominio all'interno di uno stesso dominio di base (ad esempio, sostituire drive.example.com con fileman.example.com) senza l'intervento dell'utente (in precedenza l'app PWA era legata al dominio originale e in caso di cambio di sottodominio, ad esempio, durante un rebranding o una ristrutturazione, era necessaria una reinstallazione manuale).
- In TLS, è abilitata per impostazione predefinita la supporto per l'algoritmo di generazione della firma digitale ML-DSA (CRYSTALS-Dilithium), resistente al cracking da parte di un computer quantistico.
- Nella versione per Android è stata implementata la compatibilità con lo standard FIDO Alliance Credential Exchange, che consente di importare ed esportare le password e le impostazioni di identificazione biometrica salvate utilizzando la crittografia end-to-end lato client, ad esempio, per un trasferimento sicuro tra Google Password Manager e gestori di password di terze parti.
- Nella versione per Android, il configuratore offre una nuova interfaccia unificata per la gestione delle password salvate e dei dati di autocompletamento dei moduli. L'idea è che l'utente possa ottenere informazioni su diverse categorie di dati riservati salvati dal browser, come password, dati di autenticazione biometrica, indirizzi e dati anagrafici, in un unico colpo.
- È stata aggiunta la proprietà CSS "text-fit" per il ridimensionamento automatico della dimensione del carattere, in modo che il testo si adatti alla larghezza del contenitore genitore (ad esempio, quando è necessario posizionare un titolo in un'area prestabilita senza far andare a capo il testo o adattare il font a diverse risoluzioni dello schermo).
- Nella proprietà CSS «background-clip» è stata aggiunta la compatibilità con il parametro «border-area», semplificando la creazione di bordi con sfumature, grazie al rendering dello sfondo dell'elemento strettamente nell'area occupata dal bordo.
- È stata aggiunta la funzione CSS image(), che consente di generare un'immagine riempiendo con un colore specificato.
- Nella modalità di Origin trials è iniziato il test del protocollo EVP (email verification protocol) per la conferma crittografica automatica della proprietà dell'email senza la necessità di inviare codici di verifica usa e getta.
- È stato aggiunto l'attributo HTML focusgroup per la gestione dichiarativa del passaggio del focus di input dalla tastiera all'interno di componenti complessi, come i menu, senza l'uso di JavaScript. Ad esempio, dopo aver usato il tasto Tab per uscire dal gruppo di elementi e tornare indietro, il browser riporterà il focus sull'ultimo elemento attivo, non sul primo elemento della lista.
- Sono stati migliorati gli strumenti per gli sviluppatori web. Sono state aggiunte funzionalità per l'ispezione e il debug degli strumenti WebMCP, utilizzati per integrare i siti con agenti AI tramite il protocollo MCP. Nella pannello degli stili è consentita la modifica in loco delle regole «@container», «@counter-style» e «@function».
Oltre alle nuove funzionalità e alla correzione di errori, nella nuova versione sono state risolte 433 vulnerabilità. Molte di queste vulnerabilità sono state rilevate attraverso test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Venti problematiche sono state classificate con un livello critico di pericolo, il che implica che queste vulnerabilità consentono di superare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Quattordici problemi critici sono stati causati da accessi a memoria già rilasciata (use-after-free), tre da un controllo insufficiente dei dati di input non affidabili, due da overflow del buffer e uno da un'errata gestione dei tipi (Type Confusion). Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per questa versione, Google ha erogato 319.000 dollari USA (una ricompensa di 250.000 dollari per CVE-2026-14382 nella libreria ANGLE), tre premi di 10.000, 2.500, 2.000 e 1.000 dollari, due premi di 3.000 dollari e premi di 8.000, 5.000 e 4.000 dollari.
Fonte: opennet.ru
