A empresa Google lançou a versão do navegador web Chrome 142. Ao mesmo tempo, uma versão estável do projeto livre Chromium, que é a base do Chrome, está disponível. O navegador Chrome difere do Chromium pelo uso de logotipos do Google, por ter um sistema de notificação em caso de falhas, módulos para reprodução de conteúdo de vídeo protegido contra cópias (DRM), sistema de instalação automática de atualizações, inclusão contínua da sandbox e fornecimento de chaves para a Google API, além da transmissão de parâmetros RLZ durante as buscas. Para aqueles que precisam de mais tempo para atualizar, é mantido um ramo chamado Extended Stable, acompanhado por 8 semanas. O próximo lançamento do Chrome 143 está programado para 2 de dezembro.
Principais mudanças no Chrome 142:
- Foi incluída a proteção contra o acesso à sistema local ao interagir com sites públicos. Quando há acessos de um site na rede pública ou interna (intranet) para endereços IP o sistema local ou a interface de loopback (127.0.0.0/8), o navegador exibirá um diálogo solicitando confirmação da operação ao usuário. As ações protegidas incluem tentativas de carregar recursos, requisições fetch() e inserções de iframe. A proteção ainda não é aplicada a conexões via WebSockets, WebTransport e WebRTC, mas será adicionada para essas tecnologias posteriormente.
O acesso a recursos internos é utilizado por criminosos para realizar ataques CSRF em roteadores, pontos de acesso, impressoras, interfaces web corporativas e outros dispositivos e serviços que aceitam solicitações apenas da rede local. Além disso, a varredura de recursos internos pode ser utilizada para identificação indireta ou coleta de informações sobre a rede local.
- Foi proposto uma interface única e simplificada para vincular a conta do Google e sincronizar dados, como senhas salvas e favoritos. A sincronização é integrada ao login na conta e não é apresentada como uma opção separada nas configurações. Os usuários podem conectar o Chrome à conta do Google e usá-la para armazenar senhas, favoritos, histórico de navegação e abas. Essa funcionalidade está ativa apenas para alguns usuários, com abrangência sendo gradualmente aumentada.
- Uma nova modelo de isolamento de processos — 'Origin Isolation' foi implementado, onde cada origem de conteúdo (origin — combinação de protocolo, de domínio e porta, por exemplo, "https://foo.example.com"), é isolada em um processo separado de renderização. Como o aumento da fragmentação de isolamento pode levar a um maior consumo de memória e ao aumento da carga da CPU, o novo modo de isolamento é ativado apenas em sistemas com mais de 4 GB de RAM. Em equipamentos de baixo desempenho, continuará a ser usado o antigo método de isolamento, em que todos os diferentes fontes de conteúdo associadas a um site (por exemplo, foo.example.com e bar.example.com) são isoladas em um processo separado.
- Em sistemas com Windows e macOS, onde não é aplicado o gerenciamento centralizado do Chrome, foi implementada uma desativação automática de extensões de navegador instaladas forçosamente que apresentem violação não significativa das regras do catálogo do Chrome Web Store. Violações não significativas incluem a presença de vulnerabilidades potenciais, imposição da extensão sem o conhecimento do usuário, manipulação de metadados, violação das regras de manejo de dados do usuário e engano sobre a funcionalidade. Se desejar, o usuário pode reativar a extensão desativada.
- Na versão para Android, assim como nas compilações para sistemas desktop, foi implementado um aviso sobre páginas fraudulentas identificadas por um grande modelo de linguagem com base na análise de conteúdo. O uso de IA é aplicado no modo de proteção avançada do navegador (Enhanced Safe Browsing). O modelo de IA é executado no lado do cliente, mas se houver suspeita de conteúdo duvidoso, uma verificação adicional é realizada nos servidores do Google.
- Na implementação do protocolo DTLS (Datagram Transport Layer Security, análogo ao TLS para UDP), utilizado para conexões WebRTC, foi incluído o uso de algoritmos de criptografia pós-quântica.
- Foi implementada a preservação do status de ativação, definido quando o usuário está ativo na página, após mudar para outra página com o mesmo domínio. A preservação da ativação simplificará o desenvolvimento de aplicações web multipágina e resolverá problemas como a definição do foco de entrada ao exibir o teclado virtual pelo site.
- No CSS, foram adicionados os pseudo-classes ":target-before" e ":target-after" para determinar os marcadores anteriores e seguintes, em relação à posição de rolagem atual (":target-current").
- Nos contêineres de estilo („@container“) e na função „if()“ é permitido o uso da sintaxe de intervalos (Range Syntax), definida na especificação Media Queries Level 4, que permite o uso de operadores matemáticos de comparação comuns e operadores lógicos para determinar intervalos de valores. Por exemplo, agora é possível especificar „@container style(—inner-padding > 1em)“ e „background-color: if(style(attr(data-columns, type) > 2): lightblue; else: white);“
- Nos elementos «<button>» e «<a>» foi adicionada a suporte ao atributo «interestfor», que permite organizar a chamada de ações, como exibir uma janela pop-up em situações em que o usuário demonstra interesse pelo elemento. O navegador considera como sinais de interesse situações como passar o mouse sobre o elemento, pressionar teclas de atalho ou tocar e segurar na tela sensível ao toque. Ao detectar interesse em um elemento com o atributo «interestfor», o navegador gera um evento InterestEvent.
- Foram feitas melhorias nas ferramentas para desenvolvedores web. Um botão foi adicionado no canto superior direito para chamar rapidamente o assistente de IA. O item do menu contextual „Ask AI“ foi renomeado para „Debug with AI“ e ampliado com a capacidade de executar ações imediatas dependendo do contexto. No console da web e no painel de código, o assistente de IA Gemini agora pode gerar recomendações com código.
Nas ferramentas para desenvolvedores web, foi garantida a integração com o serviço GDP (Google Developer Program). O desenvolvedor agora poderá se conectar ao seu perfil no GDP diretamente do Chrome DevTools e receber bônus por realizar certas tarefas nesta interface.
Além das inovações e correções de bugs, a nova versão eliminou 20 vulnerabilidades. Muitas das vulnerabilidades foram identificadas através de testes automatizados utilizando as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Nenhum problema crítico que permita contornar todos os níveis de proteção do navegador e executar código no sistema fora do ambiente sandbox foi detectado. Como parte do programa de recompensas por descobertas de vulnerabilidades para esta versão, a Google estabeleceu 20 prêmios no total de 130 mil dólares (dois prêmios de 50 mil dólares, um prêmio de 10 mil dólares e três prêmios de 3 mil dólares, dois prêmios de 2 mil dólares e três prêmios de 1 mil dólares). O valor de 8 das recompensas ainda não foi definido.
Além disso, pode-se notar a descoberta de uma vulnerabilidade não corrigida no mecanismo Blink, que leva ao encerramento inesperado e à suspensão do navegador ao executar determinado código JavaScript. A vulnerabilidade é causada por problemas arquitetônicos no mecanismo de renderização, relacionados à falta de restrições na intensidade das operações de atualização da propriedade "document.title". A ausência de limites permite que "document.title" seja utilizado para fazer dezenas de milhões de alterações no DOM por segundo, o que, após alguns segundos, resulta na suspensão da interface devido ao bloqueio do thread principal e ao consumo significativo de memória, e após 15 a 60 segundos, o navegador encerra inesperadamente.
Fonte: opennet.ru
