O Google lançou a versão 142 do navegador Chrome. Uma versão estável do projeto de código aberto Chromium, base do Chrome, também está disponível. O Chrome difere do Chromium no uso de logotipos do Google, um sistema de notificação de falhas, módulos para reprodução de conteúdo de vídeo protegido por DRM, instalação automática de atualizações, isolamento de sandbox sempre ativo, fornecimento de chaves da API do Google e a transmissão de parâmetros RLZ durante a pesquisa. Para quem precisa de mais tempo para atualizar, uma versão estável estendida é mantida por oito semanas. O próximo lançamento, Chrome 143, está previsto para 2 de dezembro.
Principais mudanças no Chrome 142:
- A proteção contra o acesso ao sistema local ao interagir com sites públicos está ativada. Ao acessar um site em uma rede pública ou interna (intranet), endereços IP O navegador exibirá uma caixa de diálogo ao usuário solicitando confirmação da operação ao acessar o sistema local ou a interface de loopback (127.0.0.0/8). Tentativas de baixar recursos, solicitações fetch() e inserções de iframe estão sujeitas à proteção. A proteção não se aplica atualmente a conexões via WebSockets, WebTransport e WebRTC, mas será adicionada para essas tecnologias posteriormente.
Os atacantes exploram o acesso a recursos internos para realizar ataques CSRF em roteadores, pontos de acesso, impressoras, interfaces web corporativas e outros dispositivos e serviços que aceitam apenas solicitações da rede local. Além disso, a varredura de recursos internos pode ser usada para identificação indireta ou para coletar informações sobre a rede local.
- Uma interface única e simplificada foi introduzida para vincular uma conta do Google e sincronizar dados, como senhas salvas e favoritos. A sincronização está integrada ao login da conta e não é apresentada como uma opção separada nas configurações. Os usuários podem conectar o Chrome à sua conta do Google e usá-la para armazenar senhas, favoritos, histórico de navegação e guias. Esse recurso está ativo atualmente para alguns usuários e será expandido gradualmente.
- É utilizado um novo modelo de isolamento de processos - "Isolamento de Origem", no qual cada fonte de conteúdo (origem - uma ligação de protocolo, domínio e a porta, por exemplo, "https://foo.example.com"), é isolada em um processo de renderização separado. Como o aumento da granularidade do isolamento pode levar a um aumento no consumo de memória e na carga da CPU, o novo modo de isolamento só é habilitado em sistemas com mais de 4 GB de RAM. Em hardware de baixo consumo de energia, a abordagem de isolamento antiga continuará sendo usada, que isola todas as diferentes fontes de conteúdo associadas a um único site (por exemplo, foo.example.com e bar.example.com) em um processo separado.
- Em sistemas com Windows и macOSPara aplicativos que não utilizam o gerenciamento centralizado do Chrome, implementamos a desativação automática de complementos de navegador instalados à força que violem políticas menores da Chrome Web Store. Violações menores incluem vulnerabilidades potenciais, complementos instalados por push sem o conhecimento do usuário, manipulação de metadados, violações das políticas de dados do usuário e funcionalidades enganosas. Os usuários podem restaurar os complementos desativados, se assim desejarem.
- Na versão para AndroidAssim como nas versões para desktop, foi implementado um aviso sobre páginas fraudulentas detectadas por um modelo de linguagem abrangente baseado em análise de conteúdo. A IA é utilizada no modo Navegação Segura Aprimorada do navegador. O modelo de IA é executado no lado do cliente, mas, caso seja detectado conteúdo suspeito, uma verificação adicional é realizada nos servidores do Google.
- A implementação do protocolo DTLS (Datagram Transport Layer Security, um análogo do TLS para UDP) usado para conexões WebRTC inclui o uso de algoritmos de criptografia pós-quântica.
- O estado de ativação, definido durante a atividade do usuário em uma página, agora é preservado após a navegação para outra página no mesmo domínio. Preservar a ativação simplificará o desenvolvimento de aplicações web com múltiplas páginas e resolverá problemas como a definição do foco de entrada quando o site exibe seu teclado virtual.
- As pseudoclasses CSS ":target-before" e ":target-after" foram adicionadas para definir os marcadores anterior e seguinte em relação à posição de rolagem atual (":target-current").
- Os contêineres de estilo (@container) e a função if() agora suportam a sintaxe de intervalo definida na especificação Media Queries Nível 4, que permite o uso de operadores de comparação matemática e operadores lógicos padrão para definir intervalos de valores. Por exemplo, agora você pode especificar "@container style(—inner-padding > 1em)" e "background-color: if(style(attr(data-columns, type ) > 2): azul claro; senão: branco);"
- Os elementos "<a>" e "<span>" agora suportam o atributo "interestfor". Esse atributo pode ser usado para acionar ações, como exibir um pop-up, quando o usuário demonstra interesse no elemento. O navegador reconhece eventos como passar o cursor sobre o elemento, pressionar teclas de atalho ou manter um toque na tela sensível ao toque como indicadores de interesse. Quando um elemento com o atributo "interestfor" é identificado, o navegador gera um InterestEvent.
- Foram feitas melhorias nas ferramentas de desenvolvimento web. Um botão de inicialização rápida para o assistente de IA foi adicionado no canto superior direito. O item de menu de contexto "Perguntar à IA" foi renomeado para "Depurar com IA" e expandido para incluir a capacidade de executar ações imediatas dependendo do contexto. No console web e no painel de código, o assistente de IA Gemini agora pode gerar recomendações com código.
As ferramentas de desenvolvimento web agora se integram ao Programa de Desenvolvedores do Google (GDP). Os desenvolvedores agora podem acessar seu perfil do GDP diretamente das Ferramentas de Desenvolvedor do Chrome e ganhar recompensas por concluir tarefas específicas nessa interface.
Além de novos recursos e correções de bugs, a nova versão corrige 20 vulnerabilidades. Muitas delas foram identificadas por meio de testes automatizados usando AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Não foram identificados problemas críticos que permitissem burlar todas as camadas de proteção do navegador e executar código fora do ambiente de sandbox. Como parte do programa de recompensas por vulnerabilidades desta versão, o Google estabeleceu 20 recompensas totalizando US$ 130.000 (duas recompensas de US$ 50.000, uma de US$ 10000, três de US$ 3000, duas de US$ 2000 e três de US$ 1000). Os valores de oito das recompensas ainda não foram definidos.
Além disso, foi identificada uma vulnerabilidade não corrigida no mecanismo Blink, que causa o travamento e congelamento do navegador ao executar determinados códigos JavaScript. A vulnerabilidade é causada por problemas arquitetônicos no mecanismo de renderização relacionados à ausência de um limite de taxa na atualização da propriedade "document.title". Essa falta de limitação permite que "document.title" seja usada para fazer dezenas de milhões de alterações no DOM por segundo. Isso faz com que a interface congele em poucos segundos devido ao bloqueio da thread principal e ao consumo significativo de memória. Após 15 a 60 segundos, o navegador trava.
Fonte: opennet.ru
