Kompania Google publikoi përditësimin Chrome 147.0.7727.101, i cili adreson 31 dobësi, prej të cilave 5 janë klasifikuar si kritike. Problemet kritike lejojnë kalimin e të gjitha niveleve të mbrojtjes së shfletuesit dhe ekzekutimin e kodit në sistem jashtë mjedisit të 'sandbox'. Detajet nuk janë zbuluar ende, dihet vetëm se dobësitë janë shkaktuar nga dalja jashtë kufijve të tamponit në ndërfaqen ANGLE (translacioni i thirrjeve OpenGL ES në API të tjera grafike) dhe bibliotekën Skia (vizatimi i grafikës 2D), si dhe referencat në memorie të çliruar (Use-after-free) në mekanizmin e paravizitimit (Prerender), komponentët për realitetin virtual (XR) dhe realizimin e objekteve Proxy.
Gjithashtu, mund të theksohet analiza e ndjeshmërisë së Chrome ndaj metodave të fshehta të identifikimit, të cilat lejojnë krijimin pasiv të identifikuesve të shfletuesit në bazë të shenjave të ndërmjetme, të tilla si:
- rezolucioni i ekranit,
- lista e mimeve të mbështetur,
- parametrat specifik në titujt HTTP/2 dhe HTTP/3,
- analizimi i fonts,
- disponueshmëria e disa Web API,
- analizimi i historisë së vizitave,
- karakteristikat specifike të kartave grafike për vizatimin me WebGL, WebGPU dhe Canvas,
- dallimet në zbatimin e metodave përpunuese të zërit në API AudioContext dhe njohjen e zërit përmes API SpeechSynthesis,
- dellimi lokal IP përmes WebRTC,
- analiza e kompozitës dhe rendit të enumerimeve të zgjerimeve TLS,
- karakteristikat e vizatimit të Emoji,
- përcaktimi i layout-eve të tastierës,
- prania e pajisjeve periferike të specializuara dhe sensorëve të rrallë (gamepads, helmetë të realitetit virtual, sensorë afërsie),
- dallimet në kalibrimin e sensorëve përmes API Generic Sensor,
- përcaktimi i pajisjeve Bluetooth-, USB- dhe HID përmes metodës getDevices(),
- karakteristikat e funksioneve matematikore (p.sh., Math.tan(-1e308)),
- vlerësimi i skemave të ngjyrave dhe të dhënave për përpunimin e ngjyrës përmes rregullit CSS @supports,
- lidhi me performancën e sistemit përmes API Performance,
- përcaktimi i shtesave të instaluara përmes përmendjes chrome-extension://[known-id]/[resource],
- manipulimet me CSS,
- analiza e karakteristikave të punës me miun dhe tastierën.
Vihet se në Chrome gati nuk ka mekanizma të ndërtuar për mbrojtjen nga identifikimi i fshehtë, dhe iniciativat e mëparshme për forcimin e privatësisë, si Privacy Sandbox dhe Privacy Budget, janë ndalur. Përveç një përshkrimi të përgjithshëm të metodave të identifikimit të fshehtë që funksionojnë në Chrome, tregohet se si mund t'i blokoni ato në nivelin e shtesës së shfletuesit, duke përdorur skriptet për përpunimin e përmbajtjes, mundësitë e debugger-it (chrome.debugger) dhe analizën e kërkesave rrjetore (chrome.webRequest). Gjithashtu, shqyrtohen metodat e ruajtjes së identifikuesve në zona që nuk janë të destinuara për ruajtjen e informacionit të përhershëm (p.sh., Supercookies, cache e Favicon, baza e autokompaktimit të formave).
Burimi: opennet.ru
