L'azienda Google ha pubblicato il rilascio del web browser Chrome 141. È disponibile anche il rilascio stabile del progetto open source Chromium, che costituisce la base di Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, il sistema di invio di notifiche in caso di crash, i moduli per la riproduzione di contenuti video protetti da copyright (DRM), il sistema di installazione automatica degli aggiornamenti, l'abilitazione permanente dell'isolamento Sandbox, la fornitura di chiavi per Google API e il passaggio di parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, è supportata una versione Extended Stable, accompagnata da un periodo di 8 settimane. Il prossimo rilascio di Chrome 142 è previsto per il 28 ottobre.
Modifiche principali in Chrome 141:
- Per alcuni utenti è stato attivato il chatbot integrato nel browser Gemini, che può spiegare il contenuto della pagina visualizzata e rispondere a domande correlate senza passare alla scheda attuale. Per attivare Gemini, è stato aggiunto un pulsante nell'angolo in alto a destra dello schermo, che al clic apre un dialogo che consente di porre domande in linguaggio naturale e selezionare le schede il cui contenuto l'AI dovrebbe considerare nella formulazione della risposta. È possibile comunicare con il bot tramite testo e messaggi vocali. Questa funzionalità è disponibile per gli utenti negli Stati Uniti che hanno accesso all'app Gemini e utilizzano le piattaforme macOS, iOS e Windows.
- È stata introdotta la protezione contro l'accesso al sistema locale (loopback, 127.0.0.0/8) o alla rete interna (192.168.0.0/16, 10.0.0.0/8, ecc.) durante l'interazione con siti pubblici. Adesso, al tentativo di caricare risorse interne, il browser mostrerà un dialogo all'utente per confermare l'operazione. L'accesso a risorse interne è usato dagli aggressori per effettuare attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Inoltre, la scansione delle risorse interne può essere utilizzata per identificazione indiretta o raccolta di informazioni sulla rete locale.
- È iniziato il passaggio a un modello di isolamento dei processi più granulare — «Origin Isolation», in cui ogni origine di contenuto (origin — combinazione di protocollo, di dominio e il porto, ad esempio, «https://foo.example.com»), viene isolato in un processo di rendering separato. Poiché l'aumento della frammentazione dell'isolamento può comportare un maggiore consumo di memoria e un aumento del carico della CPU, la nuova modalità di isolamento è attivata solo sui sistemi che dispongono di oltre 4 GB di RAM. Sull'hardware meno potente continuerà ad essere utilizzato il vecchio approccio all'isolamento, in cui tutte le diverse sorgenti di contenuto associate a un sito web (ad esempio, foo.example.com e bar.example.com) vengono isolate in un processo separato. Questa possibilità è attualmente attivata per un gruppo di utenti, e la copertura aumenterà gradualmente.
- È stata attivata l'applicazione della politica «Same Origin» per l'API Storage Access API. La chiamata «document.requestStorageAccess()» dal codice caricato tramite un iframe da un altro sito ora coprirà di default solo il sito da cui è stato caricato quell'iframe, e non il sito su cui è inserito l'iframe.
- È stata aggiunta un'euristica per identificare sul lato client l'intercettazione o il reindirizzamento a siti esterni delle ricerche effettuate nella barra degli indirizzi o sulla pagina mostrata quando si apre una nuova scheda. Tale intercettazione è utilizzata da alcune estensioni dannose. Il controllo avviene tramite il confronto delle ricerche effettuate dall'utente con l'apparizione della pagina con i risultati di ricerca. In caso di rilevamento di una sostituzione in modalità Safe Browsing, server Google invia telemetria per un'analisi più dettagliata, considerando la telemetria proveniente da diversi utenti.
- Nella pagina di apertura della nuova scheda, nella barra inferiore che mostra informazioni sulle estensioni che influenzano il contenuto della pagina della nuova scheda, sono fornite informazioni sulle operazioni sul dispositivo, a cui si applica la gestione centralizzata.
- Nei sistemi con profili utente collegati a provider di autenticazione esterni, è stata implementata la possibilità di eseguire comandi di amministrazione remoti, ad esempio, per svuotare la cache o i cookie.
- Nell'API IndexedDB è stato implementato il metodo getAllRecords(), che consente di estrarre tutti i record dallo store di oggetti (IDBObjectStore) e dall'indice (IDBIndex). getAllRecords() combina la funzionalità dei metodi getAllKeys() e getAll() per estrarre sia le chiavi primarie che i valori corrispondenti. Ai metodi getAll() e getAllKeys() è stato aggiunto il parametro "direction" per determinare la direzione di estrazione dei dati, il che consente di accelerare alcune operazioni di lettura rispetto all'uso dei cursori.
- Aggiunto l'API "WebRTC Encoded Transform" per l'elaborazione di dati multimediali codificati trasmessi tramite RTCPeerConnection.
- Aggiunto il supporto per gli attributi "width" e "height" per gli elementi annidati , le cui dimensioni possono essere gestite tramite CSS o markup SVG.
- Miglioramenti apportati agli strumenti per gli sviluppatori web. Aggiunto un server MCP (Model Context Protocol) sperimentale, che consente l'accesso alle funzionalità di Chrome DevTools da assistenti AI esterni.
Al momento della redazione di questa notizia, non ci sono informazioni sulle vulnerabilità corrette nell'annuncio e nel tracker delle modifiche.
Aggiornamento: A un giorno dal rilascio, sono state divulgate informazioni sulle vulnerabilità corrette. In Chrome 141 sono state risolte 21 vulnerabilità. Molte di queste vulnerabilità sono state scoperte grazie a test automatizzati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state trovate problematiche critiche che consentono di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, Google ha assegnato 12 premi per un totale di 50.000 dollari USA (un premio di 25.000 dollari, uno di 5.000 dollari, uno di 4.000 dollari e uno di 2.000 dollari, quattro premi da 3.000 dollari e due di 1.000 dollari). L'importo di una ricompensa non è ancora stato definito.
Fonte: opennet.ru
