Google выпустила исправления 19 уязвимостей в своем флагманском браузера Chrome, лишь 3 из которых удалось обнаружить самим разработчикам, за другие 16 компании пришлось отвалить бонусы сторонним специалистам.

Самая серьезная CVE-2021-37981, связанная с переполнением буфера в Skia, обошлась Google в 20 000 долларов. Ошибки CVE-2021-37982 и CVE-2021-37983, связанные с проблемами в компонентах Incognito и инструментах разработчика обошлись по 10 000 долларов за каждую.

Ниже по прайсу стоили дыры с высокой степенью серьезности CVE-2021-37984 (переполнение буфера в PDFium) и CVE-2021-37985 (ошибки в V8): за них были выплачены 7500 и 5000 долларов соответственно.

Кроме того, устранены 3 уязвимости средней степени серьезности в выпуске Chrome 95 (в сетевых API, профилях и сервисах расширенного доступа PDF), компонентах Blink, WebView, V8 и WebAudio, а также 2 уязвимости с низкой степенью серьезности в iFrame Sandbox и WebApp Installer.

Отдельно Google заявила, что улучшила общую безопасность Chrome, удалив несколько функций, таких как поддержка протоколов TLS 1.0 / 1.1 и FTP, для URL-адресов с именами хостов, не относящихся к IPv4, заканчивающимися цифрами, и для U2F.

В новой версии браузера также введены ограничения на размер файлов cookie.