Google har gitt ut versjon 141 av nettleseren Chrome. En stabil utgave av Chromium-prosjektet med åpen kildekode, grunnlaget for Chrome, er også tilgjengelig. Chrome skiller seg fra Chromium ved bruk av Google-logoer, et krasjvarslingssystem, moduler for avspilling av kopibeskyttet videoinnhold (DRM), automatisk installasjon av oppdateringer, isolering av alltid-på-sandkasser, klargjøring av Google API-nøkler og overføring av RLZ-parametere under søk. For de som trenger mer tid til å oppdatere, vedlikeholdes en separat utvidet stabil gren i åtte uker. Neste utgivelse, Chrome 142, er planlagt til 28. oktober.
Viktige endringer i Chrome 141:
- For noen brukere er den nettleserintegrerte Gemini-chatboten aktivert. Den kan forklare innholdet på siden som vises og svare på siderelaterte spørsmål uten å bytte fra gjeldende fane. For å aktivere Gemini er det lagt til en knapp øverst til høyre på skjermen. Når du klikker på den, vises en dialogboks som lar brukerne stille spørsmål på naturlig språk og velge faner hvis innhold AI-en bør vurdere når den genererer et svar. Tekst- og talekommunikasjon med boten støttes. Denne funksjonen er tilgjengelig for amerikanske brukere som har tilgang til Gemini-appen og bruker plattformene. macOS, iOS og Windows.
- Beskyttelse mot tilgang til det lokale systemet (loopback, 127.0.0.0/8) eller det interne nettverket (192.168.0.0/16, 10.0.0.0/8 osv.) ved samhandling med offentlige nettsteder er aktivert. Når man prøver å laste inn interne ressurser, vil nettleseren nå vise en dialogboks som ber om bekreftelse. Tilgang til interne ressurser brukes av angripere til å utføre CSRF-angrep på rutere, tilgangspunkter, skrivere, bedriftsnettgrensesnitt og andre enheter og tjenester som bare godtar forespørsler fra det lokale nettverket. Videre kan skanning av interne ressurser brukes til indirekte identifikasjon eller for å samle inn informasjon om det lokale nettverket.
- Overgangen til en mer detaljert prosessisolasjonsmodell, «Origin Isolation», har begynt, der hver innholdskilde (opprinnelse er en protokollbinding, domene og port, for eksempel «https://foo.example.com»), isoleres i en separat gjengivelsesprosess. Siden økning av isolasjonsgranulariteten kan føre til økt minneforbruk og CPU-belastning, er den nye isolasjonsmetoden bare aktivert på systemer med mer enn 4 GB RAM. På maskinvare med lavt strømforbruk vil den gamle isolasjonsmetoden fortsatt brukes, som isolerer alle forskjellige innholdskilder tilknyttet et enkelt nettsted (for eksempel foo.example.com og bar.example.com) i en separat prosess. Denne funksjonen er for øyeblikket aktivert for noen brukere, og vil gradvis bli utvidet.
- Policyen «Samme opprinnelse» er aktivert for Storage Access API. Kalling av «document.requestStorageAccess()» fra kode lastet inn via en iframe fra et annet nettsted, vil nå som standard bare målrette nettstedet som iframen lastes inn fra, ikke nettstedet som er vert for iframen.
- La til heuristikker for å oppdage klientsideavlytting eller omdirigering til eksterne nettsteder av søk som er angitt i adressefeltet eller på siden som vises når en ny fane åpnes. Denne typen avlytting brukes av noen skadelige tillegg. Sjekken utføres ved å sammenligne brukerens angitte søk med søkeresultatsiden som vises. Hvis en erstatning oppdages i sikker nettlesingsmodus, serveren Telemetri sendes til Google for mer detaljert analyse, med hensyn til telemetri fra forskjellige brukere.
- På siden Ny fane viser det nederste panelet som viser informasjon om tillegg som påvirker innholdet på siden Ny fane nå informasjon om enheten som administreres sentralt.
- På systemer med brukerprofiler koblet til tredjeparts autentiseringsleverandører er muligheten til å utføre kommandoer for fjernadministrasjon, for eksempel å tømme hurtigbufferen eller informasjonskapsler, implementert.
- IndexedDB API implementerer getAllRecords()-metoden, som henter alle poster fra et objektlager (IDBObjectStore) og en indeks (IDBIndex). getAllRecords() kombinerer funksjonaliteten til getAllKeys() og getAll() for å hente både primærnøkler og tilhørende verdier. Metodene getAll() og getAllKeys() inkluderer nå en "retning"-parameter for å spesifisere retningen for datahenting, noe som kan øke hastigheten på visse leseoperasjoner sammenlignet med bruk av markører.
- La til API-et «WebRTC Encoded Transform» for behandling av kodede mediedata overført via RTCPeerConnection.
- Lagt til støtte for attributtene «width» og «height» for nestede elementer , hvis størrelse kan kontrolleres via CSS- eller SVG-markup.
- Det er gjort forbedringer i verktøyene for nettutviklere. En eksperimentell MCP-server (Model Context Protocol) er lagt til, slik at eksterne AI-assistenter kan få tilgang til Chrome DevTools-funksjoner.
I skrivende stund var det ingen informasjon om de rettet sårbarhetene i kunngjøringen eller endringssporeren.
Oppdatering: En dag etter utgivelsen ble informasjon om rettet sårbarheter offentliggjort. Chrome 141 fikser 21 sårbarheter. Mange av sårbarhetene ble identifisert gjennom automatisert testing ved hjelp av AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Ingen kritiske problemer som kunne tillate omgåelse av alle lag med nettleserbeskyttelse og kjøring av kode utenfor sandkassemiljøet ble identifisert. Som en del av sitt sårbarhetsdusørprogram for den nåværende utgivelsen har Google tildelt 12 dusører på totalt $50 000 (én dusør på hver av $25 000, $5 000, $4 000 og $2 000, fire dusører på $3 000 og to dusører på $1 000). Størrelsen på hver dusør er ennå ikke fastsatt.
Kilde: opennet.ru
