Chrome 142 웹 브라우저 출시

Google에서 Chrome 웹 브라우저 버전 142를 출시했습니다. Chrome의 기반이 되는 오픈소스 Chromium 프로젝트의 안정적인 릴리스 버전도 제공됩니다. Chrome은 Google 로고 사용, 충돌 알림 시스템, 복사 방지 비디오 콘텐츠(DRM) 재생 모듈, 자동 업데이트 설치, 상시 샌드박스 격리, Google API 키 프로비저닝, 검색 중 RLZ 매개변수 전달 등에서 Chromium과 차별화됩니다. 업데이트에 더 많은 시간이 필요한 사용자를 위해 별도의 확장 안정 버전이 8주 동안 제공됩니다. 다음 릴리스인 Chrome 143은 12월 2일로 예정되어 있습니다.

Chrome 142의 주요 변경 사항:

• 공용 웹사이트와 상호 작용할 때 로컬 시스템에 대한 접근을 차단하는 보호 기능이 활성화되어 있습니다. 공용 네트워크 또는 내부 네트워크(인트라넷)의 웹사이트에 접속할 때, IP 주소 로컬 시스템 또는 루프백 인터페이스(127.0.0.0/8)에 접근할 때, 브라우저는 사용자에게 확인을 요청하는 대화 상자를 표시합니다. 리소스 다운로드, fetch() 요청 및 iframe 삽입 시도는 보호 대상에 포함됩니다. 현재 WebSockets, WebTransport 및 WebRTC를 통한 연결에는 보호 기능이 적용되지 않지만, 추후 이러한 기술에 대한 보호 기능이 추가될 예정입니다.

  공격자는 내부 리소스 접근을 악용하여 라우터, 액세스 포인트, 프린터, 기업 웹 인터페이스, 그리고 로컬 네트워크의 요청만 허용하는 기타 장치 및 서비스에 CSRF 공격을 수행합니다. 또한, 내부 리소스 스캐닝은 간접적인 식별이나 로컬 네트워크 정보 수집에 사용될 수 있습니다.
• Google 계정 연결 및 저장된 비밀번호, 북마크 등의 데이터 동기화를 위한 단일하고 간소화된 인터페이스가 도입되었습니다. 동기화는 계정 로그인과 통합되어 있으며 설정에서 별도의 옵션으로 제공되지 않습니다. 사용자는 Chrome을 Google 계정에 연결하여 비밀번호, 북마크, 인터넷 사용 기록, 탭 등을 저장할 수 있습니다. 이 기능은 현재 일부 사용자에게만 제공되고 있으며, 향후 점진적으로 확대될 예정입니다.
• 새로운 프로세스 격리 모델인 "Origin Isolation"이 사용됩니다. 이 모델에서는 각 콘텐츠 소스(origin - 프로토콜 바인딩)가 격리됩니다. 도메인 예를 들어 "https://foo.example.com"과 같은 특정 사이트 주소는 별도의 렌더링 프로세스에서 격리됩니다. 격리 수준을 높이면 메모리 사용량과 CPU 부하가 증가할 수 있으므로, 새로운 격리 모드는 4GB 이상의 RAM을 탑재한 시스템에서만 활성화됩니다. 저사양 하드웨어에서는 기존 격리 방식이 계속 사용되며, 이 방식은 단일 사이트와 관련된 모든 콘텐츠 소스(예: foo.example.com 및 bar.example.com)를 별도의 프로세스에서 격리합니다.
• 다음과 같은 시스템에서 Windows и macOS, в которых не применяется централизованное управление Chrome, реализовано автоматическое отключение принудительно установленных браузерных дополнений, в которых выявлены несущественные нарушения правил каталога Chrome Web Store. К несущественным нарушениям причисляется наличие потенциальных уязвимостей, навязывание дополнения без ведома пользователя, манипуляции с метаданными, нарушение правил работы с пользовательскими данными и введение в заблуждение о функциональности. При желании пользователь может вернуть отключённое дополнение.
• 버전에서는 Android, по аналогии со сборками для десктоп-систем, реализован вывод предупреждения о мошеннических страницах, выявленных большой языковой моделью на основе анализа содержимого. Использование AI применяется в режиме расширенной защиты браузера (Enhanced Safe Browsing). AI-модель выполняется на стороне клиента, но в случае выявления подозрений на сомнительный контент, выполняется дополнительная проверка на серверах Google.
• WebRTC 연결에 사용되는 DTLS(데이터그램 전송 계층 보안, UDP의 TLS 아날로그) 프로토콜 구현에는 포스트 양자 암호화 알고리즘 사용이 포함됩니다.
• 사용자가 특정 페이지에서 활동하는 동안 설정된 활성화 상태가 이제 동일 도메인의 다른 페이지로 이동한 후에도 유지됩니다. 활성화 상태를 유지하면 다중 페이지 웹 애플리케이션 개발이 간소화되고, 사이트에 가상 키보드가 표시될 때 입력 포커스를 설정하는 등의 문제가 해결됩니다.
• CSS 가상 클래스 ":target-before"와 ":target-after"가 추가되어 현재 스크롤 위치를 기준으로 이전 및 다음 마커를 정의합니다(":target-current").
• 스타일 컨테이너(@container)와 if() 함수는 이제 미디어 쿼리 레벨 4 사양에 정의된 범위 구문을 지원합니다. 이를 통해 표준 수학 비교 연산자와 논리 연산자를 사용하여 값 범위를 정의할 수 있습니다. 예를 들어, 이제 "@container style(—inner-padding > 1em)" 및 "background-color: if(style(attr(data-columns, type)"을 지정할 수 있습니다. ) > 2): 하늘색; 그렇지 않으면 흰색);"
• " " 및 " " 요소는 이제 "interestfor" 속성을 지원합니다. 이 속성은 사용자가 요소에 관심을 보일 때 팝업을 표시하는 등의 동작을 트리거하는 데 사용할 수 있습니다. 브라우저는 요소 위에 마우스를 올려놓거나, 단축키를 누르거나, 터치스크린을 터치하는 등의 이벤트를 관심 표시로 인식합니다. "interestfor" 속성이 있는 요소가 식별되면 브라우저는 InterestEvent를 생성합니다.
• 웹 개발자 도구가 개선되었습니다. AI 어시스턴트 빠른 실행 버튼이 오른쪽 상단에 추가되었습니다. "AI에게 질문하기" 컨텍스트 메뉴 항목의 이름이 "AI로 디버깅하기"로 변경되었으며, 상황에 따라 즉시 작업을 수행할 수 있는 기능이 추가되었습니다. 이제 웹 콘솔과 코드 패널에서 Gemini AI 어시스턴트가 코드를 기반으로 추천을 생성할 수 있습니다.

  웹 개발자 도구가 이제 Google 개발자 프로그램(GDP)과 통합되었습니다. 이제 개발자는 Chrome DevTools에서 직접 GDP 프로필에 액세스하고 이 인터페이스에서 특정 작업을 완료하여 보상을 받을 수 있습니다.

  

새로운 기능과 버그 수정 외에도 새 버전은 20개의 취약점을 해결합니다. 대부분의 취약점은 AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer, AFL을 사용한 자동화된 테스트를 통해 발견되었습니다. 브라우저의 모든 보호 계층을 우회하고 샌드박스 환경 외부에서 코드를 실행할 수 있는 심각한 문제는 발견되지 않았습니다. 현재 릴리스에 대한 취약점 보상 프로그램의 일환으로 Google은 총 13만 달러(5만 달러 2건, 1만 달러 1건, 3천 달러 3건, 2천 달러 2건, 1천 달러 3건)의 20건의 보상금을 설정했습니다. 이 중 8건의 보상금은 아직 결정되지 않았습니다.

또한, Blink 엔진에서 패치되지 않은 취약점이 발견되어 특정 JavaScript 코드 실행 시 브라우저가 충돌하고 정지되는 현상이 발생했습니다. 이 취약점은 렌더링 엔진의 아키텍처 문제로 인해 발생하는데, "document.title" 속성 업데이트 속도 제한이 없기 때문입니다. 이러한 제한 부족으로 인해 "document.title" 속성을 사용하여 초당 수천만 건의 DOM 변경이 가능합니다. 이로 인해 메인 스레드가 차단되고 메모리가 많이 소모되어 인터페이스가 몇 초 안에 정지됩니다. 15~60초 후 브라우저가 정지됩니다.

출처 : opennet.ru