Google 6 октября выпустила стабильную версию Chrome 155 для Windows, macOS и Linux. В обновлении 247 исправлений безопасности, включая четыре уязвимости критического уровня. Версии 155.0.8059.39 и 155.0.8059.40 распространяются для Windows и macOS, 155.0.8059.39 — для Linux. Развёртывание может занять от нескольких дней до нескольких недель.
Все четыре критические ошибки относятся к типу use-after-free: программа обращается к участку памяти после его освобождения. Это может привести к сбою или выполнению кода злоумышленника. Уязвимости обнаружены в компонентах Chromecast, Browser, Navigation и Track.
Для ошибок в Browser и Navigation описана атака через специально подготовленную HTML-страницу. При успешной эксплуатации злоумышленник может выполнить код за пределами песочницы Chrome, которая изолирует содержимое сайтов от остальной системы. Случаев применения этих уязвимостей в реальных атаках пока не выявлено.
Как обновить Chrome
Откройте меню браузера и выберите «Справка» → «О браузере Google Chrome». На этой странице Chrome автоматически проверит наличие обновлений. После установки нажмите «Перезапустить»: без перезапуска исправления не будут применены полностью.
Chrome обычно обновляется в фоне, однако браузер может оставаться на старой версии, если пользователь долго его не закрывает. В Linux обновление также устанавливается через системный менеджер пакетов.
Что ещё появилось в Chrome 155
Браузер получил встроенное декодирование JPEG XL — формата изображений с прогрессивной загрузкой, HDR, широким цветовым охватом и анимацией. Декодер jxl-rs написан на Rust с упором на безопасную работу с памятью.
Для веб-разработчиков Chrome 155 добавляет постквантовые алгоритмы в Web Cryptography API, новые средства управления окнами веб-приложений и CSS-возможности для настройки списков и отступов. Также сайты смогут блокировать воспроизведение звука во встроенных iframe, когда те скрыты.
Что это значит
- Пользователям: обновите Chrome и перезапустите браузер, чтобы закрыть четыре критические уязвимости.
- Тем, кто редко закрывает Chrome: проверьте версию вручную — загруженное обновление не применяется полностью без перезапуска.
- Веб-разработчикам: Chrome теперь отображает JPEG XL, но перед использованием формата нужно учитывать поддержку в других браузерах и приложениях.
- Разработчикам веб-приложений: в Chrome появились браузерные реализации постквантовой криптографии и дополнительные API для управления окнами.