Издаване на пакетния мениджър Pacman 5.2

Достъпен издания на пакетния мениджър Pacman 5.2, използван в дистрибуцията Arch Linux. От изменений може да се открои:

• Пълната поддръжка на delta-обновления е премахната, позволяваща да се изтеглят само изменения. Възможността е премахната заради откритата уязвимост (CVE-2019-18183), позволяваща изпълнението на произволни команди в системата при използване на неподписани БД. За атака е необходимо потребителят да изтегли подготвени от атакуващия файлове с БД и delta-обновление. Поддръжката на delta-обновленията е деактивирана по подразбиране и не е получила широко разпространение. В бъдеще планираме напълно да препишем реализацията на delta-обновленията;
• В обработчика на команда XferCommand е устранена уязвимост (CVE-2019-18182), позволяваща при MITM атаки и неподписани БД да се постигне изпълнението на свои команди в системата;
• В makepkg е добавена възможност за свързване на обработчици за изтегляне на изходни пакети и проверка по цифрова подпечат. Добавена е поддръжка за компресиране на пакети с използване на алгоритми lzip, lz4 и zstd. В repo-add е добавена поддръжка за компресиране на БД с използване на zstd. В скоро време в Arch Linux се очаква ще преминем по подразбиране на използване на zstd, което в сравнение с алгоритъма „xz“ ще позволи по-бързо компресиране и разархивиране на пакети, докато запазва същото ниво на компресия;
• Осигурена е възможност за изграждане с използване на системата Meson вместо Autotools. В следващото издание Meson напълно ще замени Autotools;
• Добавена е поддръжка за изтегляне на PGP-ключове с използване на механизма Web Key Directory (WKD), чиято основна работа е да поставя отворени ключове в мрежата, свързвайки се с домейна, посочен в имейл адреса. Например, за адреса „test@example.com“, ключът може да бъде изтеглен през линка „https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfc5ece9a5f94e6039d5a“. Изтеглянето на ключове чрез WKD е включено по подразбиране в pacman, pacman-key и makepkg;
• Параметърът „—force“ е премахнат, вместо него преди повече от година е предложен по-точно отразяващ същността на операцията параметър „—overwrite“;
• В резултатите от търсенето на файлове с използване на опцията „-F“ е осигурен изход на разширена информация, като група на пакета и статус на инсталацията.

Източник: opennet.ru