ການປ່ອຍຕົວທ່ອງເວັບ Chrome 142

ກູໂກໄດ້ປ່ອຍເວີຊັ່ນ 142 ຂອງຕົວທ່ອງເວັບ Chrome. ການປ່ອຍທີ່ຫມັ້ນຄົງຂອງໂຄງການ Chromium ແຫຼ່ງເປີດ, ພື້ນຖານຂອງ Chrome, ຍັງມີຢູ່. Chrome ແຕກຕ່າງຈາກ Chromium ໃນການນໍາໃຊ້ໂລໂກ້ຂອງ Google, ລະບົບແຈ້ງເຕືອນການຂັດຂ້ອງ, ໂມດູນສໍາລັບການຫຼິ້ນເນື້ອຫາວິດີໂອປ້ອງກັນການຄັດລອກ (DRM), ການຕິດຕັ້ງການອັບເດດອັດຕະໂນມັດ, ການແຍກ sandbox ຕະຫຼອດ, ການຈັດຫາລະຫັດ Google API, ແລະການຖ່າຍທອດພາລາມິເຕີ RLZ ໃນລະຫວ່າງການຄົ້ນຫາ. ສໍາລັບຜູ້ທີ່ຕ້ອງການເວລາເພີ່ມເຕີມໃນການປັບປຸງ, ສາຂາຄົງທີ່ຂະຫຍາຍແຍກຕ່າງຫາກແມ່ນເກັບຮັກສາໄວ້ເປັນເວລາແປດອາທິດ. ການປ່ອຍຕໍ່ໄປ, Chrome 143, ມີກໍານົດສໍາລັບເດືອນທັນວາ 2.

ການປ່ຽນແປງທີ່ສໍາຄັນໃນ Chrome 142:

• ການປົກປ້ອງການເຂົ້າເຖິງລະບົບທ້ອງຖິ່ນເມື່ອພົວພັນກັບເວັບໄຊທ໌ສາທາລະນະໄດ້ຖືກເປີດໃຊ້ງານແລ້ວ. ເມື່ອເຂົ້າເຖິງເວັບໄຊທ໌ໃນເຄືອຂ່າຍສາທາລະນະ ຫຼື ພາຍໃນ (ອິນທຣາເນັດ), ທີ່ຢູ່ IP ຂອງຂ້ອຍ ເມື່ອເຂົ້າເຖິງລະບົບທ້ອງຖິ່ນ ຫຼື ອິນເຕີເຟດ loopback (127.0.0.0/8), ໂປຣແກຣມທ່ອງເວັບຈະສະແດງກ່ອງໂຕ້ຕອບໃຫ້ຜູ້ໃຊ້ຮ້ອງຂໍການຢືນຢັນ. ຄວາມພະຍາຍາມດາວໂຫຼດຊັບພະຍາກອນ, ການຮ້ອງຂໍ fetch() ແລະ ການໃສ່ iframe ແມ່ນໄດ້ກວມເອົາແລ້ວ. ການປົກປ້ອງຍັງບໍ່ທັນໄດ້ນຳໃຊ້ກັບການເຊື່ອມຕໍ່ຜ່ານ WebSockets, WebTransport, ແລະ WebRTC ໃນປະຈຸບັນ, ແຕ່ຈະຖືກເພີ່ມເຂົ້າສຳລັບເທັກໂນໂລຢີເຫຼົ່ານີ້ໃນພາຍຫຼັງ.

  ຜູ້ໂຈມຕີໃຊ້ການເຂົ້າເຖິງຊັບພະຍາກອນພາຍໃນເພື່ອປະຕິບັດການໂຈມຕີ CSRF ໃນ routers, ຈຸດເຂົ້າເຖິງ, ເຄື່ອງພິມ, ການໂຕ້ຕອບເວັບໄຊຕ໌ຂອງບໍລິສັດ, ແລະອຸປະກອນແລະການບໍລິການອື່ນໆທີ່ຍອມຮັບພຽງແຕ່ການຮ້ອງຂໍຈາກເຄືອຂ່າຍທ້ອງຖິ່ນ. ນອກຈາກນັ້ນ, ການສະແກນຊັບພະຍາກອນພາຍໃນສາມາດຖືກນໍາໃຊ້ສໍາລັບການກໍານົດທາງອ້ອມຫຼືເກັບກໍາຂໍ້ມູນກ່ຽວກັບເຄືອຂ່າຍທ້ອງຖິ່ນ.
• ອິນເຕີເຟດດຽວ, ງ່າຍດາຍໄດ້ຖືກນໍາສະເຫນີສໍາລັບການເຊື່ອມຕໍ່ກັບບັນຊີ Google ແລະການຊິງຂໍ້ມູນ, ເຊັ່ນ: ລະຫັດຜ່ານທີ່ບັນທຶກໄວ້ແລະ bookmarks. ການຊິງຄ໌ແມ່ນປະສົມປະສານກັບການເຂົ້າສູ່ລະບົບບັນຊີ ແລະບໍ່ໄດ້ນໍາສະເຫນີເປັນທາງເລືອກແຍກຕ່າງຫາກໃນການຕັ້ງຄ່າ. ຜູ້​ໃຊ້​ສາ​ມາດ​ເຊື່ອມ​ຕໍ່ Chrome ກັບ​ບັນ​ຊີ Google ຂອງ​ເຂົາ​ເຈົ້າ​ແລະ​ນໍາ​ໃຊ້​ມັນ​ເພື່ອ​ເກັບ​ຮັກ​ສາ​ລະ​ຫັດ​ຜ່ານ​, bookmarks​, ປະ​ຫວັດ​ສາດ​ການ​ຊອກ​ຫາ​, ແລະ​ແຖບ​. ຄຸນສົມບັດນີ້ແມ່ນໃຊ້ໄດ້ໃນປັດຈຸບັນສໍາລັບຜູ້ໃຊ້ບາງຄົນ, ແລະຈະຖືກຂະຫຍາຍອອກໄປເທື່ອລະກ້າວ.
• ຮູບແບບການແຍກຂະບວນການໃໝ່ຖືກນຳໃຊ້ - “ການແຍກຕົ້ນກຳເນີດ”, ເຊິ່ງແຕ່ລະແຫຼ່ງເນື້ອຫາ (ຕົ້ນກຳເນີດ - ການເຊື່ອມໂຍງໂປໂຕຄອນ, ໂດເມນ ແລະພອດ, ຕົວຢ່າງ, "https://foo.example.com"), ຖືກແຍກອອກໃນຂະບວນການສະແດງຜົນແຍກຕ່າງຫາກ. ເນື່ອງຈາກການເພີ່ມຄວາມລະອຽດຂອງການແຍກສາມາດນໍາໄປສູ່ການໃຊ້ໜ່ວຍຄວາມຈໍາແລະການໂຫຼດ CPU ເພີ່ມຂຶ້ນ, ໂໝດແຍກໃໝ່ຈຶ່ງຖືກເປີດໃຊ້ງານໃນລະບົບທີ່ມີ RAM ຫຼາຍກວ່າ 4 GB ເທົ່ານັ້ນ. ໃນຮາດແວພະລັງງານຕໍ່າ, ວິທີການແຍກແບບເກົ່າຈະສືບຕໍ່ຖືກນໍາໃຊ້, ເຊິ່ງແຍກແຫຼ່ງຂໍ້ມູນເນື້ອຫາທີ່ແຕກຕ່າງກັນທັງໝົດທີ່ກ່ຽວຂ້ອງກັບເວັບໄຊທ໌ດຽວ (ຕົວຢ່າງ, foo.example.com ແລະ bar.example.com) ໃນຂະບວນການແຍກຕ່າງຫາກ.
• ໃນລະບົບທີ່ມີ Windows и macOS, в которых не применяется централизованное управление Chrome, реализовано автоматическое отключение принудительно установленных браузерных дополнений, в которых выявлены несущественные нарушения правил каталога Chrome Web Store. К несущественным нарушениям причисляется наличие потенциальных уязвимостей, навязывание дополнения без ведома пользователя, манипуляции с метаданными, нарушение правил работы с пользовательскими данными и введение в заблуждение о функциональности. При желании пользователь может вернуть отключённое дополнение.
• ໃນ​ສະ​ບັບ​ສໍາ​ລັບ​ການ​ Android, по аналогии со сборками для десктоп-систем, реализован вывод предупреждения о мошеннических страницах, выявленных большой языковой моделью на основе анализа содержимого. Использование AI применяется в режиме расширенной защиты браузера (Enhanced Safe Browsing). AI-модель выполняется на стороне клиента, но в случае выявления подозрений на сомнительный контент, выполняется дополнительная проверка на серверах Google.
• ການປະຕິບັດຂອງ DTLS (Datagram Transport Layer Security, ເປັນ TLS analog ສໍາລັບ UDP) ໂປໂຕຄອນທີ່ໃຊ້ສໍາລັບການເຊື່ອມຕໍ່ WebRTC ປະກອບມີການນໍາໃຊ້ລະບົບການເຂົ້າລະຫັດຫລັງ quantum.
• ສະຖານະການເປີດໃຊ້ງານ, ກໍານົດໃນລະຫວ່າງກິດຈະກໍາຂອງຜູ້ໃຊ້ຢູ່ໃນຫນ້າໃດຫນຶ່ງ, ປະຈຸບັນຖືກຮັກສາໄວ້ຫຼັງຈາກນໍາທາງໄປຫາຫນ້າອື່ນໃນໂດເມນດຽວກັນ. ການຮັກສາການເປີດໃຊ້ງານຈະເຮັດໃຫ້ການພັດທະນາຂອງແອັບພລິເຄຊັນເວັບຫຼາຍໜ້າງ່າຍຂຶ້ນ ແລະແກ້ໄຂບັນຫາຕ່າງໆ ເຊັ່ນ: ການຕັ້ງຈຸດສຸມການປ້ອນຂໍ້ມູນເມື່ອເວັບໄຊສະແດງແປ້ນພິມສະເໝືອນຂອງມັນ.
• CSS pseudo-classes ":target-before" ແລະ ":target-after" ໄດ້ຖືກເພີ່ມເພື່ອກໍານົດເຄື່ອງຫມາຍກ່ອນຫນ້າແລະຕໍ່ໄປທີ່ກ່ຽວຂ້ອງກັບຕໍາແຫນ່ງເລື່ອນໃນປະຈຸບັນ (":target-current").
• ກ່ອງບັນຈຸສະໄຕລ໌ (@container) ແລະຟັງຊັນ if() ຕອນນີ້ຮອງຮັບ Range Syntax ທີ່ກຳນົດໄວ້ໃນຂໍ້ມູນສະເພາະຂອງ Media Queries Level 4, ເຊິ່ງອະນຸຍາດໃຫ້ໃຊ້ຕົວປະຕິບັດການປຽບທຽບທາງຄະນິດສາດມາດຕະຖານ ແລະຕົວປະຕິບັດການຕາມເຫດຜົນເພື່ອກຳນົດຂອບເຂດຂອງຄ່າ. ຕົວຢ່າງ, ຕອນນີ້ທ່ານສາມາດລະບຸ "@container style(—inner-padding> 1em)" ແລະ "background-color: if(style(attr(data-columns, type)" ) > 2): ສີຟ້າອ່ອນ; ອື່ນ: ສີຂາວ);"
• ອົງປະກອບ " " ແລະ " " ປະຈຸບັນສະຫນັບສະຫນູນຄຸນລັກສະນະ "ຄວາມສົນໃຈ". ຄຸນລັກສະນະນີ້ສາມາດຖືກນໍາໃຊ້ເພື່ອກະຕຸ້ນການປະຕິບັດ, ເຊັ່ນ: ການສະແດງປ໊ອບອັບ, ເມື່ອຜູ້ໃຊ້ສະແດງຄວາມສົນໃຈໃນອົງປະກອບ. ຕົວທ່ອງເວັບຮັບຮູ້ເຫດການເຊັ່ນການເລື່ອນແລະຖືຕົວຊີ້ຢູ່ເທິງອົງປະກອບ, ການກົດແປ້ນພິມ, ຫຼືຖືການສໍາພັດໃນຫນ້າຈໍສໍາຜັດເປັນຕົວຊີ້ວັດຄວາມສົນໃຈ. ເມື່ອອົງປະກອບທີ່ມີຄຸນລັກສະນະ "interestfor" ຖືກລະບຸ, ຕົວທ່ອງເວັບຈະສ້າງ InterestEvent.
• ປັບປຸງເຄື່ອງມືຂອງນັກພັດທະນາເວັບ. ປຸ່ມເປີດຕົວດ່ວນສໍາລັບຜູ້ຊ່ວຍ AI ໄດ້ຖືກເພີ່ມໃສ່ມຸມຂວາເທິງ. ລາຍການເມນູບໍລິບົດ "Ask AI" ໄດ້ຖືກປ່ຽນຊື່ເປັນ "Debug ກັບ AI" ແລະຂະຫຍາຍອອກເພື່ອປະກອບມີຄວາມສາມາດໃນການປະຕິບັດທັນທີໂດຍອີງຕາມສະພາບການ. ໃນ web console ແລະກະດານລະຫັດ, ຜູ້ຊ່ວຍ Gemini AI ສາມາດສ້າງຄໍາແນະນໍາທີ່ມີລະຫັດ.

  ເຄື່ອງມືນັກພັດທະນາເວັບໃນປັດຈຸບັນປະສົມປະສານກັບ Google Developer Program (GDP). ຕອນນີ້ນັກພັດທະນາສາມາດເຂົ້າເຖິງໂປຣໄຟລ໌ GDP ຂອງເຂົາເຈົ້າໂດຍກົງຈາກ Chrome DevTools ແລະຮັບຮາງວັນສຳລັບການເຮັດສຳເລັດໜ້າວຽກສະເພາະພາຍໃນສ່ວນຕິດຕໍ່ນີ້.

  

ນອກເຫນືອໄປຈາກຄຸນສົມບັດໃຫມ່ແລະການແກ້ໄຂຂໍ້ບົກພ່ອງ, ສະບັບໃຫມ່ຍັງແກ້ໄຂ 20 ຊ່ອງໂຫວ່. ຫຼາຍໆຊ່ອງໂຫວ່ໄດ້ຖືກລະບຸຜ່ານການທົດສອບອັດຕະໂນມັດໂດຍໃຊ້ AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer, ແລະ AFL. ບໍ່ມີບັນຫາສໍາຄັນທີ່ສາມາດອະນຸຍາດໃຫ້ຂ້າມຊັ້ນທັງຫມົດຂອງການປົກປ້ອງຕົວທ່ອງເວັບແລະລະຫັດປະຕິບັດນອກສະພາບແວດລ້ອມ sandbox ໄດ້. ເປັນສ່ວນຫນຶ່ງຂອງໂຄງການ bounty ຊ່ອງໂຫວ່ສໍາລັບການປ່ອຍປະຈຸບັນ, Google ໄດ້ສ້າງຕັ້ງ 20 bounties ລວມ $130 (ສອງ $ 50 bounty, ຫນຶ່ງ $ 10000 bounty, ສາມ $ 3000 bounties, ສອງ $ 2000 bounties, ແລະສາມ $ 1000). ຈໍາ ນວນ 8 ຂອງ bounties ຍັງ ບໍ່ ໄດ້ ຖືກ ກໍາ ນົດ.

ນອກຈາກນັ້ນ, ຊ່ອງໂຫວ່ທີ່ບໍ່ໄດ້ຮັບການແກ້ໄຂໄດ້ຖືກກໍານົດຢູ່ໃນເຄື່ອງຈັກ Blink, ເຊິ່ງເຮັດໃຫ້ຕົວທ່ອງເວັບຂັດຂ້ອງແລະຄ້າງໃນເວລາປະຕິບັດລະຫັດ JavaScript ບາງ. ຊ່ອງໂຫວ່ແມ່ນເກີດຈາກບັນຫາສະຖາປັດຕະຍະກໍາໃນເຄື່ອງຈັກການສະແດງຜົນທີ່ກ່ຽວຂ້ອງກັບການຂາດການຈໍາກັດອັດຕາໃນການປັບປຸງຊັບສິນ "document.title". ການຂາດການຈໍາກັດນີ້ອະນຸຍາດໃຫ້ "document.title" ຖືກນໍາໃຊ້ເພື່ອເຮັດການປ່ຽນແປງຫຼາຍສິບລ້ານຕໍ່ DOM ຕໍ່ວິນາທີ. ນີ້ເຮັດໃຫ້ການໂຕ້ຕອບຂອງ freeze ພາຍໃນສອງສາມວິນາທີເນື່ອງຈາກກະທູ້ຕົ້ນຕໍໄດ້ຖືກສະກັດແລະການບໍລິໂພກຫນ່ວຍຄວາມຈໍາທີ່ສໍາຄັນ. ຫຼັງຈາກ 15-60 ວິນາທີ, ຕົວທ່ອງເວັບ crash.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru