Chrome 141 webbläsare version

Google har släppt version 141 av webbläsaren Chrome. En stabil version av det öppna källkodsprojektet Chromium, grunden för Chrome, finns också tillgänglig. Chrome skiljer sig från Chromium genom sin användning av Google-logotyper, ett kraschmeddelandesystem, moduler för att spela upp kopieringsskyddat videoinnehåll (DRM), automatisk installation av uppdateringar, isolering av sandboxar i alltid påslagen konfiguration, provisionering av Google API-nycklar och överföring av RLZ-parametrar under sökning. För de som behöver mer tid för att uppdatera finns en separat Extended Stable-gren som underhålls i åtta veckor. Nästa version, Chrome 142, är planerad till den 28 oktober.

Viktiga ändringar i Chrome 141:

• För vissa användare har den webbläsarintegrerade Gemini-chatboten aktiverats. Den kan förklara innehållet på sidan som visas och svara på sidrelaterade frågor utan att byta från den aktuella fliken. För att aktivera Gemini har en knapp lagts till i skärmens övre högra hörn. När man klickar på den visas en dialogruta som låter användare ställa frågor på naturligt språk och välja flikar vars innehåll AI:n ska beakta när den genererar ett svar. Text- och röstkommunikation med boten stöds. Den här funktionen är tillgänglig för amerikanska användare som har tillgång till Gemini-appen och använder plattformarna. macOS, iOS och Windows.
• Skydd mot åtkomst till det lokala systemet (loopback, 127.0.0.0/8) eller interna nätverket (192.168.0.0/16, 10.0.0.0/8, etc.) vid interaktion med offentliga webbplatser har aktiverats. Vid försök att ladda interna resurser visar webbläsaren nu en dialogruta som ber om bekräftelse. Åtkomst till interna resurser används av angripare för att utföra CSRF-attacker mot routrar, åtkomstpunkter, skrivare, företagswebbgränssnitt och andra enheter och tjänster som endast accepterar förfrågningar från det lokala nätverket. Dessutom kan skanning av interna resurser användas för indirekt identifiering eller för att samla in information om det lokala nätverket.
• Övergången till en mer detaljerad processisoleringsmodell, ”Origin Isolation”, har påbörjats, där varje innehållskälla (ursprunget är en protokollbindning, domän och port, till exempel "https://foo.example.com"), isoleras i en separat renderingsprocess. Eftersom ökad isoleringsgranularitet kan leda till ökad minnesförbrukning och CPU-belastning, är det nya isoleringsläget endast aktiverat på system med mer än 4 GB RAM. På hårdvara med låg strömförbrukning kommer den gamla isoleringsmetoden att fortsätta användas, vilket isolerar alla olika innehållskällor som är kopplade till en enda webbplats (till exempel foo.example.com och bar.example.com) i en separat process. Den här funktionen är för närvarande aktiverad för vissa användare och kommer gradvis att utökas.
• Principen "Same Origin" har aktiverats för Storage Access API. Anrop av "document.requestStorageAccess()" från kod som laddats via en iframe från en annan webbplats kommer nu som standard endast att rikta in sig på webbplatsen från vilken iframen laddas, inte webbplatsen som är värd för iframen.
• Lade till heuristik för att upptäcka klientsidans avlyssning eller omdirigering till externa webbplatser av sökfrågor som anges i adressfältet eller på sidan som visas när en ny flik öppnas. Denna typ av avlyssning används av vissa skadliga tillägg. Kontrollen utförs genom att jämföra användarens angivna frågor med sökresultatsidan som visas. Om en ersättning upptäcks i säkert surfläge, server Telemetri skickas till Google för mer detaljerad analys, med hänsyn till telemetri från olika användare.
• På sidan Ny flik visar den nedre panelen som visar information om tillägg som påverkar innehållet på sidan Ny flik nu information om den enhet som hanteras centralt.
• På system med användarprofiler länkade till tredjepartsautentiseringsleverantörer har möjligheten att utföra fjärradministrationskommandon, som att rensa cachen eller cookies, implementerats.
• IndexedDB API implementerar metoden getAllRecords(), som hämtar alla poster från ett objektarkiv (IDBObjectStore) och index (IDBIndex). getAllRecords() kombinerar funktionaliteten hos getAllKeys() och getAll() för att hämta både primärnycklar och deras tillhörande värden. Metoderna getAll() och getAllKeys() inkluderar nu en "direction"-parameter för att ange riktningen för datahämtning, vilket kan snabba upp vissa läsoperationer jämfört med att använda markörer.
• Lade till API:et "WebRTC Encoded Transform" för bearbetning av kodad mediedata som överförs via RTCPeerConnection.
• Lade till stöd för attributen "width" och "height" för kapslade element , vars storlek kan styras via CSS- eller SVG-kod.
• Förbättringar har gjorts i webbutvecklingsverktygen. En experimentell MCP-server (Model Context Protocol) har lagts till, vilket gör det möjligt för externa AI-assistenter att få åtkomst till Chrome DevTools-funktioner.

I skrivande stund fanns det ingen information om de åtgärdade sårbarheterna i tillkännagivandet eller ändringsspåraren.

Uppdatering: En dag efter lanseringen avslöjades information om åtgärdade sårbarheter. Chrome 141 åtgärdar 21 sårbarheter. Många av sårbarheterna identifierades genom automatiserade tester med AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. Inga kritiska problem som kunde göra det möjligt att kringgå alla lager av webbläsarskydd och exekvera kod utanför sandlådemiljön identifierades. Som en del av sitt sårbarhetsbelöningsprogram för den aktuella versionen har Google delat ut 12 belöningar på totalt 50 000 dollar (en belöning på vardera 25 000 dollar, 5 000 dollar, 4 000 dollar och 2 000 dollar, fyra belöningar på 3 000 dollar och två belöningar på 1 000 dollar). Beloppet för varje belöning har ännu inte fastställts.

Källa: opennet.ru