Google Chrome 84 Versiyonu Yeni Güvenlik Güncellemeleri ile Beraber Yayında

Google Chrome’un 14 Temmuz 2020 tarihi itibarıyla yayına aldığı yeni versiyonu birçok güvenlik güncellemesi ve geliştiriciler için yeni API özellikleri ile kullanıma sunuldu.

Yeni sürüm zararlı sitelerle ilgili bildirimler, güvenli olmayan TLS protokollerinin kullanımdan kaldırılması, “mixed-content” içeriklerin indirilmesinin kontrol altına alınması gibi birçok yeni güvenlik özelliği ile beraber yayına alındı.

Chrome’un 84 versiyonunun kararlı sürüme yükseltilmesinden sonra Chrome 85’in beta sürüme, 86’nın ise “Canary” sürüme yükseltilmesi bekleniyor.

Windows, Linux ve Mac kullanıcıları Ayarlar menüsünden “Chrome Hakkında” bölümüne giderek tarayıcılarını son sürüme güncelleyebilirler.

Güncelleme ile birlikte gelen özellikler aşağıdaki gibidir:

TLS 1.0 ve 1.1 desteği sonlandırıldı

2018 yılında yapılan ortak duyuruda Microsoft, Google, Apple ve Mozilla TLS protokolünün 1.0 ve 1.1 versiyonları için desteğin sonlandırılacağını belirtmişti.

Google bu protokollerle ilgili desteğin sonlandırılmasını Chrome 81 versiyonu için planlamıştı ama Koronavirüs pandemi sürecinin araya girmesi ve bazı sağlık kuruluşlarının hala eski sertifikalar kullanıyor olabileceği düşünülerek  desteğin sonlandırılması planı geciktirildi. Şimdi Chrome 84 verisyonu ile birlikte TLS 1.0 ve 1.1 desteği tamamen sonlandırılıyor.

Kullanıcılar eski sürüm sertifikaya sahip bir sayfaya erişmeye alıştıkları zaman aşağıdaki gibi bir uyarı mesajı ile karşılaşacaklar.

Chrome Enterprise kullanıcıları Chrome group policy özelliklerini kullanarak Ocak 2021’e kadar TLS 1.0 ve TLS 1.1 desteğini devam ettirebilirler.

Chrome 84 “Mixed Content” içerikten dosya indirilmesi esnasında uyaracak

“Mixed content” kısaca https erişimi olan bir websitesi içinde aynı şekilde http protokolü ile çağrılan herhangi bir site içi kaynağın olması durumudur. Google daha önce Nisan ayında bu şekilde “mixed content” içerikleri bloklayacağını duyurmuştu.

Chrome’un daha önceki versiyonlarında bu tip indirmelerin gerekleştiği durumlarda sadece browser geliştirici araçları “console” bölümünde görülebilen uyarılar gösteriyordu. Bu sürümle birlikte artık “mixed content” içeriklerden dosya indirilmesi sırasında görsel uyarı mesajları görülebilecek.

Dolandırıcılık sitelerinden gelen bildirim uyarıları bloklanacak

Dolandırıcık veya spam içeriklere sahip sitelerden gelen bildirim gönderme istekleri sıklıkla yaşanan ve son zamanlarda artış gösteren bir durum. Kullanıcılar bu site bildirimlerine abone olduktan sonra bir bildirim bombardımanına maruz kalıyorlar. Chrome’un yeni sürümde bu tip sitelerle ilgili uyarı gösteren bir iyileştirme de bulunuyor.

Geliştiricier için yeni API’lar

Chrome 84 sürümü geliştiricilerin işletim sistemi etkileşim kurmasını sağlayan ve tarayıcı performansının artmasına katkıda bulunan bir çok yeni API ile beraber geldi.

Raw Clipboard Access API

Raw Clipboard Access, Web uygulamaları ile onaylanmış dosya formatlarını kullanan işletim sistemi uygulamaları arasında kopyala / yapıştır yöntemiyle veri transferini sağlayan alt seviye bir API’dır. Mevcutta web uygulamaları küçük bir grup dosya formatı için kopyala/yapıştır özelliği ile veri transferini destekliyor. Bu API ile TIFF formatı gibi web standartlarına uygun olmayan dosya formatlarının da kopyala / yapıştır yöntemi ile veri transferi sağlanabilecek.

QuicTransport API

QuicTransport API, web uygulamaların sunuculara UDP benzeri davranış gösteren iki yönlü bir protokolle bağlanmasını sağlayıp bağlantı sürelerini kısaltan alt seviye bir API’dır.

Screen Wave Lock API

Screen Wave Lock API, cihazların ekran karartmasını veya kilitlemesini engelleyen bir API olarak 84 sürümü tarafından sunuldu. Bazı uygulamaların işlerini tamamlaması için cihazlar kilit durumuna geçse de ekran erişimlerini devam ettirmeleri gerekiyor. Bu API sayesinde ekran kilitlenmesini engelleyerek uygulamaların çalışmaya devam etmesini sağlıyor.

Chrome 84 versiyonu ile beraber 38 güvenlik açığı da kapatıldı. Kapatılan güvenlik açıklarının listesi de aşağıdaki gibidir:

Rating	CVE ID	Description
Critical	CVE-2020-6510	Heap buffer overflow in background fetch. Reported by Leecraso and Guang Gong of 360 Alpha Lab working with 360 BugCloud on 2020-07-08
High	CVE-2020-6511	Side-channel information leakage in content security policy. Reported by Mikhail Oblozhikhin on 2020-04-24
High	CVE-2020-6512	Type Confusion in V8. Reported by nocma, leogan, cheneyxu of WeChat Open Platform Security Team on 2020-05-20
High	CVE-2020-6513	Heap buffer overflow in PDFium. Reported by Aleksandar Nikolic of Cisco Talos on 2020-06-04
High	CVE-2020-6514	Inappropriate implementation in WebRTC. Reported by Natalie Silvanovich of Google Project Zero on 2020-04-30
High	CVE-2020-6515	Use after free in tab strip. Reported by DDV_UA on 2020-05-14
High	CVE-2020-6516	Policy bypass in CORS. Reported by Yongke Wang of Tencent’s Xuanwu Lab (xlab.tencent.com) on 2020-06-08
High	CVE-2020-6517	Heap buffer overflow in history. Reported by ZeKai Wu (@hellowuzekai) of Tencent Security Xuanwu Lab on 2020-06-16
Medium	CVE-2020-6518	Use after free in developer tools. Reported by David Erceg on 2019-07-20
Medium	CVE-2020-6519	Policy bypass in CSP. Reported by Gal Weizman (@WeizmanGal) of PerimeterX on 2020-03-25
Medium	CVE-2020-6520	Heap buffer overflow in Skia. Reported by Zhen Zhou of NSFOCUS Security Team on 2020-06-08
Medium	CVE-2020-6521	Side-channel information leakage in autofill. Reported by Xu Lin (University of Illinois at Chicago), Panagiotis Ilia (University of Illinois at Chicago), Jason Polakis (University of Illinois at Chicago) on 2020-04-27
Medium	CVE-2020-6522	Inappropriate implementation in external protocol handlers. Reported by Eric Lawrence of Microsoft on 2020-02-13
Medium	CVE-2020-6523	Out of bounds write in Skia. Reported by Liu Wei and Wu Zekai of Tencent Security Xuanwu Lab on 2020-05-08
Medium	CVE-2020-6524	Heap buffer overflow in WebAudio. Reported by Sung Ta (@Mipu94) of SEFCOM Lab, Arizona State University on 2020-05-12
Medium	CVE-2020-6525	Heap buffer overflow in Skia. Reported by Zhen Zhou of NSFOCUS Security Team on 2020-06-05
Low	CVE-2020-6526	Inappropriate implementation in iframe sandbox. Reported by Jonathan Kingston on 2020-04-24
Low	CVE-2020-6527	Insufficient policy enforcement in CSP. Reported by Zhong Zhaochen of andsecurity.cn on 2019-08-10
Low	CVE-2020-6528	Incorrect security UI in basic auth. Reported by Rayyan Bijoora on 2020-03-22
Low	CVE-2020-6529	Inappropriate implementation in WebRTC. Reported by kaustubhvats7 on 2019-06-26
Low	CVE-2020-6530	Out of bounds memory access in developer tools. Reported by myvyang on 2019-10-21
Low	CVE-2020-6531	Side-channel information leakage in scroll to text. Reported by Jun Kokatsu, Microsoft Browser Vulnerability Research on 2020-01-17
Low	CVE-2020-6533	Type Confusion in V8. Reported by Avihay Cohen @ SeraphicAlgorithms on 2020-04-11
Low	CVE-2020-6534	Heap buffer overflow in WebRTC. Reported by Anonymous on 2020-04-20
Low	CVE-2020-6535	Insufficient data validation in WebUI. Reported by Jun Kokatsu, Microsoft Browser Vulnerability Research on 2020-04-22
Low	CVE-2020-6536	Incorrect security UI in PWAs. Reported by Zhiyang Zeng of Tencent security platform department on 2020-05-09

Kaynak