Google ha rilasciato la versione del browser web Chrome 125. Contestualmente è disponibile l'uscita stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi di Google, la presenza di un sistema per l'invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici, l'attivazione continua della Sandbox, la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ durante le ricerche. Per chi ha bisogno di più tempo per l'aggiornamento, è supportato un ramo Extended Stable, che viene mantenuto per 8 settimane. Il prossimo rilascio di Chrome 126 è previsto per l'11 giugno.
Principali novità in Chrome 125:
- Google ha rinviato la prevista interruzione della supporto per i cookie di terze parti, che verranno utilizzati quando si accede a siti diversi da di dominio della pagina attuale (cookie simili sono usati per tracciare i movimenti dell'utente tra siti nei codici delle reti pubblicitarie, nei widget dei social media e nei sistemi di web analytics). Nella nuova versione, per identificare i siti che utilizzano cookie di terze parti, è stato aggiunto un indicatore con un'immagine di un occhio nella barra degli indirizzi, che viene barrato in caso di blocco dei cookie di terze parti. Poiché continua il test per disattivare i cookie di terze parti per l'1% degli utenti e c'è la possibilità di disabilitarli manualmente attraverso l'impostazione «chrome://flags/#test-third-party-cookie-phaseout», nel menu contestuale è offerta la possibilità di ripristinare temporaneamente il supporto per i cookie di terze parti per siti specifici. L'annullamento del blocco è valido per 90 giorni dopo l'attivazione.
- Attivando la protezione avanzata del browser (Navigazione Sicura > Protezione avanzata) viene eseguita una scansione profonda automatica dei file scaricati, eseguita tramite il caricamento delle informazioni su server Google (in precedenza veniva visualizzata una richiesta di conferma per la verifica esterna, mentre ora il controllo sarà eseguito automaticamente).
- Le build per la piattaforma Windows sono ora disponibili anche per la piattaforma ARM64.
- È stato aggiunto un nuovo meccanismo per l'aggiornamento dei componenti che richiedono il download di grandi volumi di dati. Questo riguarda l'aggiornamento dei modelli per le nuove capacità aggiunte, che utilizzano l'apprendimento automatico: la modalità di raggruppamento intelligente delle schede, il generatore di temi e l'assistente interattivo.
- Sono stati aggiunti due nuovi tipi di estensioni potenzialmente problematiche, per le quali verranno visualizzati avvisi all'utente con raccomandazioni di considerare la loro opportunità di utilizzo: estensioni installate non dal catalogo Chrome Web Store e estensioni che utilizzano tecniche ingannevoli per forzare l'installazione di software indesiderato.
- Il comportamento nel gestire l'evento "mousemove" è stato allineato a quello degli altri browser: l'annullamento dell'evento non blocca più le operazioni di selezione del testo e drag & drop (per bloccare la selezione e il drag & drop, bisogna annullare gli eventi selectstart e dragstart).
- È stato aggiunto un insieme di proprietà CSS per gestire la visualizzazione degli elementi legati alla posizione di altri elementi (Posizionamento Ancorato CSS), senza l'uso di JavaScript, ad esempio, per il collegamento a elementi popup, che appaiono in modo simile ai tooltip. Per configurare l'ancoraggio di un elemento a un altro e definire l'area di visualizzazione, sono state introdotte le proprietà anchor-name, position-anchor e inset-area. È stata inoltre aggiunta la funzione anchor() per ottenere informazioni sul punto di ancoraggio.
- Nel CSS sono state aggiunte le funzioni matematiche round(), mod() e rem().
- È stata introdotta una nuova sintassi per riflettere lo stato degli HTML personalizzati (custom element) nel CSS, che permette di utilizzare il pseudo-classe «:state()».
- Aggiunto l'API Compute Pressure, che consente di ottenere informazioni ad alto livello sullo stato attuale dell'hardware, ad esempio, è possibile ottenere una panoramica del carico creato sulla CPU (vengono forniti i livelli: carico minimo con risparmio energetico attivato; carico consentito per eseguire ulteriori attività senza problemi; carico elevato ma nei limiti accettabili e che non interferisce con il funzionamento del sistema; carico critico, vicino al limite delle risorse).
- L'API Storage Access, utilizzata per richiedere all'utente le autorizzazioni per accedere allo storage dei cookie, se i cookie di terze parti sono bloccati, è stata ampliata con la possibilità di richiedere l'accesso da gestori di terze parti (ad esempio, dai contenuti all'interno ) a depositi non associati ai cookie, come indexedDB.
- Aggiunta il supporto sperimentale (origin trial) per l'API Viewport Segments Enumeration, destinata a organizzare l'output su dispositivi con schermi pieghevoli.
- Fornita la possibilità di utilizzare gli schemi URL HTTP e HTTPS nel costruttore WebSocket invece degli schemi «ws:» e «wss:».
- In JavaScript, it is permitted to use modifiers «?i», «?-i», «?m», «?-m», «?s», «?-s» within regular expressions to control the setting or disabling of the flags «i», «s», and «m». For example, «?-i» in «re1 = /^[a-z](?-i:[a-z])$/i;» disables the application of «/i» (case insensitivity) for the second character (re1.test(«aB») will return false).
- Improvements have been made to the web development tools. A button has been added to the web console to display explanations of the nature of the error or warning generated via the AI chatbot Gemini. The CSS panel now supports «@position-try» rules. The source code editing and viewing panel has added settings for formatting packed pages for readability and automatic closing of brackets during editing. The network activity monitoring panel now supports HTTP headers used in responses with status code 103 «Early Hints». The performance analysis panel has included statistics on CSS selectors.
Oltre alle nuove funzionalità e ai bug fix, nella nuova versione sono state risolte 9 vulnerabilità. Molte di queste vulnerabilità sono state scoperte attraverso test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. La vulnerabilità CVE-2024-4947, causata da un'errata gestione dei tipi (Type Confusion) nel motore V8 e classificata come critica, è stata utilizzata dagli aggressori per condurre attacchi (0-day) fino alla sua correzione. Non sono state identificate problematiche critiche che consentano di bypassare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità per l'attuale rilascio, Google ha assegnato 4 premi per un totale di 8.000 dollari (uno da $7000 e uno da $1000). L'importo di due premi non è ancora stato determinato.
Fonte: opennet.ru
