Google ha pubblicato il rilascio del browser web Chrome 150. Contestualmente è disponibile una versione stabile del progetto open source Chromium, che funge da base per Chrome. Chrome differisce da Chromium per l'uso dei loghi di Google, per la presenza di un sistema di invio di notifiche in caso di crash, per i moduli per la riproduzione di contenuti video protetti da copyright (DRM), per il sistema di aggiornamento automatico, per l'attivazione permanente della sandbox e per la distribuzione delle chiavi per le API di Google, oltre alla trasmissione dei parametri RLZ durante le ricerche. Per coloro che hanno bisogno di più tempo per l'aggiornamento, è supportata una versione separata chiamata Extended Stable, disponibile per 8 settimane. Il prossimo rilascio di Chrome 151 è previsto per il 28 luglio.
Principali modifiche in Chrome 150 (1, 2, 3, 4):
- Sono stati proposti i primi risultati dell'iniziativa di aggiornamento dell'interfaccia utente su diversi sistemi operativi, eliminando gli elementi superflui. Sono state adottate nuove icone con bordi più arrotondati e effetti animati per i pulsanti, come quelli di apertura del menu principale e di ricarica della pagina. È stata semplificata la struttura dei menu contestuali, rimuovendo gli elementi poco utilizzati o duplicati. È stato adottato un design più moderno per il configuratore, il gestore download e la pagina di navigazione tra le schede.
- È proseguito lo sviluppo della modalità AI, che consente di interagire con un agente AI dalla barra degli indirizzi o dalla pagina mostrata all'apertura di una nuova scheda. Nella nuova versione è stata aggiunta la possibilità di collegare Chrome all'agente AI Gemini Spark per l'esecuzione autonoma di azioni nella scheda attiva corrente mentre si svolgono attività che richiedono interazione con contenuti web (clic sui pulsanti, navigazione tra i link, compilazione di moduli, ecc.). Inoltre, sono state aggiunte raccomandazioni contestuali per l'utilizzo di Gemini durante la navigazione, ad esempio, aprendo un articolo lungo, Chrome suggerirà di riassumere le informazioni utilizzando Gemini, mentre durante la modifica del testo in un modulo consiglierà di verificare o correggere il testo tramite Gemini.
- Per alcuni utenti, è attivata un'interfaccia semplificata unica per l'associazione all'account Google e la sincronizzazione dei dati, come password salvate e segnalibri. La sincronizzazione è integrata con l'accesso all'account e non viene presentata come un'opzione separata nelle impostazioni. Gli utenti possono collegare Chrome all'account Google e usarlo per memorizzare password, segnalibri, cronologia delle visite e schede. I dati per il completamento automatico degli indirizzi e il completamento automatico dell'input ora non vengono sincronizzati tra i dispositivi e vengono memorizzati solo sul sistema locale.
- Per alcuni utenti che hanno attivato la modalità di protezione avanzata del browser (Enhanced Safe Browsing), è abilitata la funzione «HTTPS-First», che esegue il reindirizzamento automatico delle richieste HTTP su HTTPS. Per garantire il funzionamento con siti che non supportano HTTPS, è stato implementato un fallback su HTTP, se dopo il reindirizzamento non è possibile eseguire la richiesta su HTTPS o ci sono problemi con i certificati. Quando si tenta di aprire un sito tramite HTTP, viene visualizzato un avviso speciale. In Chrome 154 si prevede di abilitare di default questa modalità per tutti i siti pubblicamente accessibili, non ospitati in reti intranet, come 192.168.0.1 e 10.0.0.0/8.
- È stata rimossa la supporto per il flag kExtensionManifestV2Disabled, che consentiva di ripristinare la possibilità di installare estensioni che utilizzano la seconda versione del manifesto dal Chrome Web Store. Nella prossima versione di Chrome 151 sarà rimosso il parametro AllowLegacyMV2Extensions, che consentiva di caricare manualmente estensioni basate sulla seconda versione del manifesto in modalità sviluppatore. I flag menzionati consentivano di installare l'estensione uBlock Origin in modo indiretto.
- I gestori dei Web Worker creati utilizzando URI «data:» (ad esempio, tramite «new Worker(‘data:text/javascript….’)») ora sono isolati dalla pagina in cui sono stati creati e non hanno accesso agli archivi locali e ai cookie nel contesto corrente. di dominioQuesta modifica consente di bloccare l'uso di Web Worker non caricati da server, ma creati al volo tramite «data:», per accedere ai dati sensibili durante attacchi XSS.
- È stata implementata una protezione contro attacchi che manipolano il limite massimo di connessioni al proxy come canale di comunicazione nascosto tra il codice JavaScript eseguito in schede diverse, o per determinare se un certo sito è stato visitato in precedenza. Ad esempio, un attaccante può occupare tutte le connessioni disponibili al proxy, lasciando inutilizzato solo un socket, per poi analizzarne la disponibilità quando si accede a una risorsa statica: se il socket è libero, la risorsa del sito controllato è fornita dalla cache, cioè l'utente l'ha già caricata in precedenza. Il limite massimo di connessioni ai socket TCP del proxy ora varia casualmente.
- L'uso di filtri SVG è vietato su iframe esterni (cross-origin) o isolati (sandboxed), così come su plugin (ad esempio, un visualizzatore PDF integrato). Questa restrizione aiuta a proteggere dagli attacchi tramite canali esterni, come GPU.zip, e dagli attacchi di tipo SVG Clickjacking, in cui i filtri SVG vengono utilizzati per sovrapporre contenuti trasparenti su un altro contenuto con l'intento di sostituire un pulsante invisibile, ad esempio, sopra un pulsante di chiusura di una finestra pubblicitaria.
- Per le applicazioni web isolate (PWA, Progressive Web Apps) è stata introdotta la possibilità di migrare a un nuovo sottodominio all'interno di un dominio di base (ad esempio, sostituendo drive.example.com con fileman.example.com) senza l'intervento dell'utente (in precedenza, l'applicazione PWA era legata al dominio originale e in caso di cambio di sottodominio, ad esempio durante un rebranding o una ristrutturazione, era necessaria una reinstallazione manuale).
- Nel TLS è stata attivata di default la supporto per l'algoritmo di firma digitale ML-DSA (CRYSTALS-Dilithium), resistente agli attacchi da parte di computer quantistici.
- Nella versione per Android è stata implementata la supporto per lo standard FIDO Alliance Credential Exchange, che consente di importare ed esportare password salvate e parametri di identificazione biometrica utilizzando la crittografia end-to-end sul lato client, ad esempio, per un trasferimento sicuro tra Google Password Manager e gestori di password di terze parti.
- Nella versione per Android, il configuratore presenta una nuova interfaccia unificata per la gestione delle password salvate e dei dati di compilazione automatica dei moduli. L'idea è che l'utente possa ottenere informazioni su diverse categorie di dati riservati salvati dal browser, come password, dati di autenticazione biometrica, indirizzi e informazioni passaporto.
- È stata aggiunta la proprietà CSS «text-fit» per la ridimensionamento automatico della dimensione del carattere, in modo che il testo si adatti alla larghezza del contenitore genitore (ad esempio, quando è necessario inserire un titolo in un'area prestabilita senza mandare il testo su un'altra riga o adattare il carattere a diverse risoluzioni dello schermo).
- Nella proprietà CSS «background-clip» è stata aggiunta la supporto per l'opzione «border-area», che semplifica la creazione di bordi con sfumature, grazie al rendering dello sfondo dell'elemento strettamente nell'area occupata dal bordo.
- È stata aggiunta la funzione CSS image(), che consente di generare un'immagine con un riempimento di colore specifico.
- Nel programma di Origin trials è iniziato il test del protocollo EVP (protocollo di verifica email) per la conferma automatica della proprietà dell'email senza la necessità di inviare codici di conferma usa e getta via email.
- È stato aggiunto l'attributo HTML focusgroup per la gestione dichiarativa del passaggio del focus di input da tastiera all'interno di componenti complessi, come i menu, senza utilizzare JavaScript. Ad esempio, dopo aver uscita da un gruppo di elementi con il tasto Tab e tornando indietro, il browser riporterà il focus sull'ultimo elemento attivo invece che sul primo elemento dell'elenco.
- Sono stati apportati miglioramenti agli strumenti per sviluppatori web. Sono state aggiunte funzionalità per ispezionare e debuggare gli strumenti WebMCP, utilizzati per integrare i siti con gli agenti AI tramite il protocollo MCP. Nel pannello degli stili è stato consentito l'editing in loco delle regole «@container», «@counter-style» e «@function».
Oltre alle novità e alla correzione di errori, nella nuova versione sono state rimosse 433 vulnerabilità. Molte di queste vulnerabilità sono state identificate tramite test automatici con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. A venti problematiche è stata assegnata una gravità critica, il che implica che le vulnerabilità consentono di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. 14 problemi critici sono stati causati da accesso alla memoria già liberata (use-after-free), 3 da controlli insufficienti sui dati in ingresso non attendibili, 2 da overflow del buffer e 1 da errata gestione dei tipi (Type Confusion). Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per la versione attuale, Google ha corrisposto 319 mila dollari statunitensi (una ricompensa di 250 mila dollari (CVE-2026-14382 nella libreria ANGLE), tre ricompense di $10.000, $2.500, $2.000 e $1.000, due ricompense di $3.000 e ricompense di $8.000, $5.000 e $4.000).
Fonte: opennet.ru
