Izdaja Chrome 97

Podjetje Google je predstavilo izdajo spletnega brskalnika Chrome 97. Hkrati je na voljo stabilna izdaja prostega projekta Chromium, ki predstavlja osnovo za Chrome. Brskalnik Chrome se razlikuje po uporabi logotipov Google, prisotnosti sistema za pošiljanje obvestil v primeru zrušitve, modulih za predvajanje zaščitenega videoposnetka (DRM), sistemu samodejne namestitve posodobitev in prenašanju RLZ-parametrov pri iskanju. Za tiste, ki potrebujejo več časa za posodobitev, je posebej podpora podaljšani stabilni različici, ki traja 8 tednov, kjer je ustvarjena posodobitev za prejšnjo izdajo Chrome 96. Naslednja izdaja Chrome 98 je načrtovana za 1. februar.

Glavne spremembe v Chrome 97:

• Za nekatere uporabnike je v konfiguratorju uveden nov vmesnik za upravljanje podatkov, shranjenih na strani brskalnika ("chrome://settings/content/all"). Ključna razlika novega vmesnika je osredotočenost na nastavitev pooblastil in čiščenje vseh piškotkov spletnega mesta hkrati, brez možnosti pregleda podrobnih informacij o posameznih piškotkih in selektivnega odstranjevanja piškotkov. Po mnenju Googla lahko dostop do upravljanja posameznih piškotkov za povprečnega uporabnika, ki se ne spozna na spletno razvoj, privede do nepredvidljivih težav pri delovanju spletnih mest zaradi nepremišljenih sprememb posameznih nastavitve ter do nenamernega izklopa mehanizmov zaščite zasebnosti, ki jih aktivirajo piškotki. Tistim, ki potrebujejo manipulacijo s posameznimi piškotki, priporočamo uporabo razdelka za upravljanje shrambe v orodjih za spletne razvijalce (Application/Storage/Cookie).
• V bloku z informacijami o spletni strani je implementiran prikaz kratkega opisa spletne strani (na primer, opisi iz Wikipedije), če je v nastavitvah aktiviran način optimizacije iskanja in navigacije (možnost "Make searches and browsing better").
• Izboljšana je podpora za samodejno izpolnjevanje polj v spletnih obrazcih. Priporočila z možnostmi samodejnega izpolnjevanja se zdaj prikazujejo z manjšim zamikom in so opremljena z informacijskimi ikonami za lažjo predogled in vizualno prepoznavanje povezave s poljem, ki se izpolnjuje. Na primer, ikona profila namiguje, da se predlagano samodejno izpolnjevanje nanaša na polja, povezana z naslovom in kontaktnimi informacijami.
• Zagotovljeni so bili odstranitev iz pomnilnika obdelovalcev uporabniških profilov po zapiranju povezanih oken brskalnika. Prej so profili ostajali v pomnilniku in nadaljevali s sinhronizacijo in izvajanjem ozadnih skript dodatkov, kar je privedlo do neupravičene porabe virov na sistemih, kjer se hkrati uporablja več profilov (na primer gostiteljski profil in vezava na Google račun). Poleg tega je bila zagotovljena natančnejša čistitev podatkov, ki ostanejo med delom s profilom.
• Izboljšana je bila stran z nastavitvami iskalnikov („Nastavitve>Upravljajte z iskalniki“). Samodejna aktivacija motorjev, katerih informacije se prikazujejo ob odprtju strani prek scenarija OpenSearch – novi motorji za obdelavo iskalnih poizvedb iz naslovne vrstice, zdaj zahtevajo ročno aktivacijo v nastavitvah (prej samodejno aktivirani motorji bodo še naprej delovali brez sprememb).
• Od 17. januarja v katalog Chrome Web Store ne bodo več sprejemali dodatkov, ki uporabljajo drugo različico manifestu Chrome, vendar bodo razvijalci prej dodanih dodatkov, kot prej, lahko objavljali posodobitve.
• Dodana je eksperimentalna podpora specifikaciji WebTransport, ki določa protokol in pripadajoči JavaScript API za pošiljanje in prejemanje podatkov med brskalnikom in serverom. Komunikacijski kanal se organizira nad HTTP/3 z uporabo protokola QUIC kot transporta. WebTransport se lahko uporablja namesto mehanizma WebSockets, kar ponuja dodatne možnosti, kot so organizacija prenosa v več tokovih, enosmerni tokovi, dostava brez upoštevanja vrstnega reda paketa (out-of-order), zanesljivi in nezanesljivi načini dostave. Poleg tega se WebTransport lahko uporablja namesto mehanizma Server Push, ki se mu je Google odpovedal v Chromu.
• V JavaScript-objekte Array in TypedArrays so dodane metode findLast in findLastIndex, ki omogočajo iskanje elementov s prikazom rezultatov glede na konec matrike. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (zadnji sodoštevni element)
• Zaprti (brez atributa „open“) HTML-elementi <details> so zdaj na voljo za iskanje in povezave ter se samodejno razkrijejo ob iskanju po strani in navigaciji po fragmentih (ScrollToTextFragment).
• Omejitve politike varnosti vsebine (CSP) v odgovornih glavi strežnika se zdaj uporabljajo tudi za ločene workerje, ki so bili prej obravnavani kot ločeni dokumenti.
• Zagotovljen je jasen zahtevek za dovoljenje nalaganja vseh podresursov iz notranjega omrežja — pred dostopom do notranjega omrežja ali do localhost na strežniku glavne spletne strani se zdaj pošlje zahtevek CORS (Cross-Origin Resource Sharing) z glavo „Access-Control-Request-Private-Network: true“, ki zahteva potrditev operacije s povratno glavo „Access-Control-Allow-Private-Network: true“.
• Dodana je CSS lastnost font-synthesis, ki omogoča upravljanje možnosti sinteze manjkajočih sloga pisav (oblique, bold in small-cap), ki niso vključeni v izbrano družino pisav.
• Za CSS transformacije v funkciji perspective() je uveden parameter ‘none’, ki se obravnava kot neskončna vrednost pri ustvarjanju animacij.
• V HTTP glavo Permissions-Policy (Feature Policy), ki se uporablja za delegiranje pooblastil in vključitev razširjenih funkcionalnosti, je dodana podpora vrednosti keyboard-map, ki omogoča uporabo API-ja za tipkovnico. Uvedena je metoda Keyboard.getLayoutMap(), ki omogoča določanje, katera tipka je pritisnjena ob upoštevanju različnih postavitev tipkovnice (na primer, pritisnjena tipka pri ruski ali angleški postavitvi).
• Dodana je metoda HTMLScriptElement.supports(), ki poenoti določitev novih funkcionalnosti, dostopnih v elementu „script“, na primer, lahko izveste seznam podprtih vrednosti za atribut „type“.
• Postopek normalizacije novih vrstic pri pošiljanju spletnih obrazcev je usklajen z brskalniškimi motorji Gecko in WebKit. Normalizacija znakov za prehod vrstice in vračilo kurzorja (zamenjava /r in /n z \r\n) v Chromu se zdaj izvaja v končni fazi, in ne na začetku obdelave pošiljanja obrazca (tj. vmesni obdelovalci, ki uporabljajo objekt FormData, bodo videli podatke, kot jih je dodal uporabnik, in ne v normalizirani obliki).
• Standardizirano je poimenovanje lastnosti za API Client Hints, ki ga razvijamo kot zamenjavo za glavo User-Agent in omogoča selektivno predajanje podatkov o določenih parametrih brskalnika in sistema (različica, platforma itd.) le po zahtevi strežnika. Lastnosti so zdaj označene s predpono „sec-ch-“, na primer, sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink in sec-ch-ect.
• Приčinjena je druga faza prestanka podrške za API WebSQL, čiji će pristup iz eksternih skripti sada biti blokiran. U budućnosti se planira postepeno potpuno ukidanje podrške za WebSQL, bez obzira na kontekst korišćenja. WebSQL procesor se temelji na SQLite kodu i mogao je biti korišćen od strane napadača za eksploataciju ranjivosti u SQLite-u.
• Za Windows platformu uključena je verzija sa proverom integriteta toka izvršavanja (CFG, Control Flow Guard), koja blokira pokušaje umetanja koda u Chrome proces. Takođe, mrežne usluge koje se izvode u posebnim procesima sada koriste sandbox izolaciju, koja ograničava mogućnosti koda u tim procesima.
• U Chrome-u za Android uključen je mehanizam dinamičkog ažuriranja registra izdatih i opozvanih sertifikata (Certificate Transparency), koji je prethodno bio aktiviran u verzijama za desktop sisteme.
• Unapređenja su uvedena u alate za web programere. Implementirana je eksperimentalna podrška za sinhronizaciju DevTools podešavanja između različitih uređaja. Dodata je nova panelna funkcija Recorder, pomoću koje je moguće snimati, reproducirati i analizirati korisničke radnje na stranici.

  Prilikom prikazivanja grešaka u web konzoli obezbeđeno je prikazivanje povezanih brojeva kolona, što je korisno za debagovanje problema u minifikovanom JavaScript kodu. Ažuriran je spisak uređaja koji se mogu simulirati za procenu prikaza stranice na mobilnim uređajima. U interfejsu za uređivanje HTML blokova (Edit as HTML) dodato je isticanje sintakse i mogućnost automatskog dovršavanja unosa.

  

Osim novih funkcija i ispravki grešaka, nova verzija ispravila je 37 ranjivosti. Mnoge od ranjivosti otkrivene su automatizovanim testiranjem uz pomoć alata AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Jedna od ranjivosti dobila je status kritične, omogućavajući zaobilaženje svih nivoa zaštite pretraživača i izvršavanje koda van sandbox okruženja. Detalji o kritičnoj ranjivosti (CVE-2022-0096) još uvek nisu otkriveni, poznato je samo da je povezana sa pristupom već oslobođenoj memorijskoj oblasti u kodu koji radi sa unutrašnjim skladištima (API Storage).

В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила 24 премии на сумму 54 тысячи долларов США (три премии $10000, две премии $5000, одна премия $4000, три премии $3000 и одна премия $1000). Размер 14 вознаграждений пока не определён.

Izvor: opennet.ru