Следам за выпускам Red Hat Enterprise Linux 9.2 апублікавана абнаўленне мінулай галінкі Red Hat Enterprise Linux 8.8, якая суправаджаецца паралельна з галінкай RHEL 9.x і будзе падтрымлівацца як мінімум да 2029 года. Установачныя зборкі падрыхтаваны для архітэктур x86_64, s390x (IBM System z), ppc64le і Aarch64, але даступныя для загрузкі толькі зарэгістраваным карыстальнікам Red Hat Customer Portal (таксама можна выкарыстоўваць iso-вобразы CentOS Stream 9 і бясплатныя зборкі RHEL для распрацоўшчыкаў). Зыходныя тэксты rpm-пакетаў Red Hat Enterprise Linux 8 распаўсюджваюцца праз Git-рэпазітар CentOS.
Падрыхтоўка новых выпускаў ажыццяўляецца ў адпаведнасці з цыклам распрацоўкі, які прадугледжвае фармаванне рэлізаў раз у паўгода ў загадзя вызначаны час. Да 2024 года галінка 8.x будзе знаходзіцца на стадыі поўнай падтрымкі, якая прадугледжвае ўключэнне функцыянальных паляпшэнняў, пасля чаго пяройдзе на стадыю суправаджэння, на якой прыярытэты зрушацца ў бок выпраўлення памылак і бяспекі, з унясеннем нязначных паляпшэнняў, звязаных з падтрымкай важных апаратных сістэм.
Ключавыя змены:
- Абноўлены серверныя і сістэмныя пакеты: nginx 1.22, Libreswan 4.9, OpenSCAP 1.3.7, Grafana 7.5.15, powertop rebased 2.15, tuned 2.20.0, NetworkManager 1.40.16, mod_security 2.9.6.
- У склад уключаны новыя версіі кампілятараў і інструментаў для распрацоўшчыкаў: GCC Toolset 12, LLVM Toolset 15.0.7, Rust Toolset 1.66, Go Toolset 1.19.4, Python 3.11, Node.js 18.14/15, PostgreSQL 2.39.1, . SystemTap 3.19, Apache Tomcat 4.8.
- Настройкі FIPS-рэжыму зменены для адпаведнасці патрабаванням стандарту FIPS 140-3. Адключаныя 3DES, ECDH і FFDH, мінімальны памер ключоў HMAC абмежаваны 112 бітамі, а ключоў RSA – 2048 бітамі, у генератары псеўдавыпадковых лікаў DRBG адключаныя хэшы SHA-224, SHA-384, SHA512-224, SHA -512.
- Палітыкі SELinux абноўлены для забеспячэння працы systemd-socket-proxyd.
- У пакетным мэнэджэры yum рэалізаваная каманда offline-upgrade для ўжывання абнаўленняў да сістэмы ў offline-рэжыме. Сутнасць offline-абнаўленні ў тым, што спачатку новыя пакеты загружаюцца каманднай "yum offline-upgrade download", пасля чаго выконваецца каманда "yum offline-upgrade reboot" для перазагрузкі сістэмы ў мінімальнае асяроддзе і ўсталёўкі ў ім наяўных абнаўленняў, не мяшаючы працоўным працэсам. Пасля завяршэння ўстаноўкі абнаўленняў сістэма перазагружаецца ў звычайнае працоўнае асяроддзе. Пры загрузцы пакетаў для offline-абнаўленні можна ўжываць фільтры, напрыклад, "advisory", "security", "bugfix".
- Дададзены новы пакет synce4l для выкарыстання тэхналогіі сінхранізацыі частаты SyncE (Synchronous Ethernet), якая падтрымліваецца ў некаторых сеткавых картах і сеткавых камутатарах, і якая дазваляе павысіць эфектыўнасць абмену дадзенымі ў прыкладаннях RAN (Radio Access Network) за кошт больш дакладнай сінхранізацыі часу.
- У фреймворк fapolicyd (File Access Policy Daemon), які дазваляе вызначыць якія праграмы можна запускаць вызначанаму карыстачу, а якія не, дададзены новы файл канфігурацыі /etc/fapolicyd/rpm-filter.conf для налады спісу файлаў з БД для пакетнага мэнэджара RPM, якія апрацоўвае fapolicyd. Напрыклад, новы файл канфігурацыі можа выкарыстоўвацца для выключэння з палітык доступу асобных прыкладанняў, усталяваных праз пакетны мэнэджар RPM.
- У ядры пры скідзе ў лог інфармацыі аб выяўленым SYN flood-е забяспечана ўказанне звестак аб які прыняў злучэнне IP-адрасе, каб спрасціць азначэнні мэты флуду на сістэмах з апрацоўшчыкамі, прывязанымі да розных IP-адрасоў.
- Дададзена сістэмная роля для інструментара podman, якая дазваляе кіраваць наладамі Podman, кантэйнерамі і сэрвісамі systemd, якія запускаюць кантэйнеры Podman. У Podman дададзена падтрымка генерацыі падзей аўдыту, падлучэнні апрацоўшчыкаў перад запускам (/usr/libexec/podman/pre-exec-hooks і /etc/containers/pre-exec-hooks) і выкарыстанні фармату Sigstore для захоўвання лічбавых подпісаў разам з выявамі кантэйнераў.
- Абноўлены інструментар для кіравання ізаляванымі кантэйнерамі container-tools, які ўключае такія пакеты, як Podman, Buildah, Skopeo, crun і runc.
- Дададзена ўтыліта toolbox, які дазваляе запусціць дадатковае ізаляванае асяроддзе, якое можа быць абсталяванае адвольнай выявай пры дапамозе звычайнага пакетнага мэнэджара DNF. Распрацоўніку дастаткова выканаць каманду «toolbox create», пасля чаго ў любы момант можна ўвайсці ў сфармаванае асяроддзе камандай «toolbox enter» і ўсталяваць любыя пакеты пры дапамозе ўтыліты yum.
- Дададзена падтрымка фармавання выяў у фармаце vhd, ужывальным у Microsoft Azure, для архітэктуры ARM64.
- У SSSD (System Security Services Daemon) дададзеная падтрымка прывядзення імён хатніх каталогаў да ніжняга рэгістра сімвалаў (праз выкарыстанне падстаноўкі «%h» у атрыбуце override_homedir, паказваным у /etc/sssd/sssd.conf). Акрамя таго, карыстачам дазволена змена пароля, які захоўваецца ў LDAP (уключаецца праз выстаўленне значэння shadow для атрыбуту ldap_pwd_policy у /etc/sssd/sssd.conf).
- У glibc рэалізаваны новы алгарытм сартавання пры дынамічным злучэнні DSO, які выкарыстоўвае метад пошуку ў глыбіню (DFS) для рашэння праблем з прадукцыйнасцю пры апрацоўцы зацыкленых залежнасцяў. Для выбару алгарытму сартавання DSO прапанаваны параметр glibc.rtld.dynamic_sort=2, якому можна прысвоіць значэнне "1" для адкату на стары алгарытм.
- Ва ўтыліце rteval забяспечаны паказ зводнай інфармацыі аб загрузках праграмы, патоках і CPU, задзейнічаных для выканання гэтых патокаў.
- Ва ўтыліце oslat дададзены дадатковыя опцыі для вымярэння затрымак.
- Дададзены новыя драйверы для SoC Intel Elkhart Lake, Solarflare Siena, NVIDIA sn2201, AMD SEV, AMD TDX, ACPI Video, Intel GVT-g для KVM, HP iLO / iLO2.
- Дададзена эксперыментальная падтрымка дыскрэтных відэакарт Intel Arc (DG2 / Alchemist). Для ўключэння апаратнага паскарэння на падобных відэакартах варта пры загрузцы паказаць PCI-ідэнтыфікатар карты праз параметр ядра "i915.force_probe=pci-id".
- Пакет inkscape inkscape1 заменены на inkscape1, у якім выкарыстоўваецца Python 3. Версія Inkscape абноўлена з 0.92 да 1.0.
- У рэжыме кіёска прадстаўлена магчымасць выкарыстання экраннай клавіятуры GNOME.
- У бібліятэцы libsoup і паштовым кліенце Evolution дададзена падтрымка аўтэнтыфікацыі ў Microsoft Exchange Server з выкарыстаннем пратаколу NTLMv2.
- У GNOME прадстаўлена магчымасць налады кантэкстнага меню, якое паказваецца пры націску правай кнопкі мышы на працоўным стале. Карыстальнік зараз можа дадаць у меню элементы для запуску адвольных каманд.
- У GNOME дазволена адключэнне змены віртуальных працоўных сталоў праз рух уверх ці ўніз трыма пальцамі на тачпадзе.
- Прадоўжана прадастаўленне эксперыментальнай (Technology Preview) падтрымкі AF_XDP, XDP hardware offloading, Multipath TCP (MPTCP), MPLS (Multi-protocol Label Switching), DSA (data streaming accelerator), KTLS, dracut, kexec fast reboot, nis xfs, systemd-resolved, accel-config, igc, OverlayFS, Stratis, Software Guard Extensions (SGX), NVMe / TCP, DNSSEC, GNOME на сістэмах ARM4 і IBM Z, AMD SEV для KVM, Intel vGPU, Toolbox.
Крыніца: opennet.ru