Vydání OpenBSD 7.3

Byla představena verze svobodného UNIX-podobného operačního systému OpenBSD 7.3. Projekt OpenBSD byl založen Theo de Raadtem v roce 1995 po konfliktu s vývojáři NetBSD, v důsledku kterého bylo Teovi uzavřeno přístupové oprávnění k CVS repozitáři NetBSD. Poté Theo de Raadt se skupinou příznivců vytvořil na základě zdrojového kódu NetBSD nový otevřený operační systém, jehož hlavními cíli se staly přenositelnost (podporováno 13 hardwarových platforem), standardizace, správná funkčnost, proaktivní bezpečnost a integrované kryptografické nástroje. Velikost plného instalačního ISO obrazu základního systému OpenBSD 7.3 činí 620 MB.

Kromě samotného operačního systému je projekt OpenBSD znám svými komponenty, které se rozšířily v jiných systémech a prokázaly se jako jedno z nejbezpečnějších a nejkvalitnějších řešení. Mezi nimi: LibreSSL (fork OpenSSL), OpenSSH, paketový filtr PF, démony směrování OpenBGPD a OpenOSPFD, NTP server OpenNTPD, poštovní server OpenSMTPD, multiplexer textového terminálu (analog GNU screen) tmux, démon identd s implementací protokolu IDENT, BSDL alternativa k balíku GNU groff — mandoc, protokol pro zajištění vysoké dostupnosti systémů CARP (Common Address Redundancy Protocol), lehký http server, utilita pro synchronizaci souborů OpenRSYNC.

Hlavní vylepšení:

• Byly implementovány systémové volání waitid (čekání na změnu stavu procesu), pinsyscall (pro přenos informací o vstupním bodě execve pro ochranu proti ROP exploitům), getthrname a setthrname (získání a nastavení názvu vlákna).
• Pro všechny architektury byl nasazen clockintr, hardwaru nezávislý plánovač přerušení od časovače.
• Byl přidán sysctl kern.autoconf_serial, který lze použít k sledování změn stavu zařízení tree v jádře z uživatelského prostoru.
• Byla vylepšena podpora vícejádrových systémů (SMP). Byly převedeny do kategorie mp-safe filtry událostí pro zařízení tun a tap. Byly odstraněny zámky z funkcí select, pselect, poll, ppoll, getsockopt, setsockopt, mmap, munmap, mprotect, sched_yield, minherit a utrace, stejně jako ioctl SIOCGIFCONF, SIOCGIFGMEMB, SIOCGIFGATTR a SIOCGIFGLIST. Byla zlepšena práce se zámky v paketovém filtru pf. Zvýšila se výkonnost systému a síťového zásobníku na vícejádrových systémech.
• Implementace frameworku drm (Direct Rendering Manager) byla synchronizována s jádrem Linux 6.1.15 (v předchozí verzi — 5.15.69). Do ovladače amdgpu byla přidána podpora GPU Ryzen 7000 „Raphael“, Ryzen 7020 „Mendocino“, Ryzen 7045 „Dragon Range“, Radeon RX 7900 XT/XTX „Navi 31“, Radeon RX 7600M (XT), 7700S a 7600S „Navi 33“. Do amdgpu byla přidána podpora řízení podsvícení a byla zajištěna funkčnost xbacklight při použití ovladače X.Org modesetting. V Mesa je ve výchozím nastavení povoleno ukládání shaderů do cache.
• Byla provedena vylepšení v hypervisoru VMM.
• Byly zavedeny možnosti pro další ochranu paměti procesů v uživatelském prostoru: systémové volání mimmutable a jemu odpovídající funkce v knihovně, která umožňuje zafixovat přístupová práva při mapování do paměti (memory mappings). Po zafixování nelze dále měnit vystavená přístupová práva pro oblast paměti, například zákaz zápisu a provádění, prostřednictvím následujících volání funkcí mmap(), mprotect() a munmap(), které při pokusu o změnu budou vracet chybu EPERM.
• Na architektuře AMD64 byl zaveden mechanismus ochrany RETGUARD pro systémová volání, který má za cíl ztížit realizaci exploitů založených na převzetí kusů kódu a technikách návratově orientovaného programování.
• Byla aktivována ochrana proti exploitaci zranitelností, která je založena na náhodné reorganizaci spustitelného souboru sshd při každém spuštění systému. Reorganizace činí posuny funkcí v sshd méně předvídatelnými, což komplikuje vytváření exploitů využívajících metody návratově orientovaného programování.
• Byla zajištěna agresivnější randomizace umístění zásobníku na 64bitových systémech.
• Byla přidána ochrana proti zranitelnosti Spectre-BHB v mikroarchitektonických strukturách procesorů.
• Na procesorech ARM64 byl aktivován příznak DIT (Data Independent Timing) pro uživatelský prostor a jádro, který brání útokům prostřednictvím vedlejších kanálů, manipulujícím závislostí času provádění instrukcí na údajích zpracovávaných v těchto instrukcích.
• Byla poskytnuta možnost využití lladdr při určování síťových konfigurací. Například kromě vazby na název rozhraní (hostname.fxp0) lze použít vazbu na MAC adresu (hostname.00:00:6e:00:34:8f).
• Byla vylepšena podpora přechodu do režimu spánku pro systémy na bázi architektury ARM64.
• Byla významně rozšířena podpora ARM čipů Apple.
• Byla přidána podpora nového hardwaru a zahrnuty nové ovladače.
• V ovladači bwfm pro bezdrátové karty na bázi čipů Broadcom a Cypress byla zavedena podpora šifrování pro WEP.
• V instalátoru byla vylepšena práce se softwarovými RAID a byla zavedena základní podpora pro šifrování disků (Guided Disk Encryption).
• V tmux („multiplexer terminálu“) byly přidány nové příkazy scroll-top a scroll-bottom pro posouvání kurzoru na začátek a konec. Byly aktualizovány balíčky LibreSSL a OpenSSH. Podrobný přehled vylepšení naleznete v recenzích LibreSSL 3.7.0, OpenSSH 9.2 a OpenSSH 9.3.
• Počet portů pro architekturu AMD64 činil 11764 (předtím 11451), pro aarch64 – 11561 (předtím 11261), pro i386 – 10572 (předtím 10225). Mezi verzemi aplikací v portech:
  • Asterisk 16.30.0, 18.17.0 a 20.2.0
  • Audacity 3.2.5
  • CMake 3.25.2
  • Chromium 111.0.5563.110
  • Emacs 28.2
  • FFmpeg 4.4.3
  • GCC 8.4.0 a 11.2.0
  • GHC 9.2.7
  • GNOME 43.3
  • Go 1.20.1
  • JDK 8u362, 11.0.18 a 17.0.6
  • KDE Gears 22.12.3
  • KDE Frameworks 5.103.0
  • Krita 5.1.5
  • LLVM/Clang 13.0.0
  • LibreOffice 7.5.1.2
  • Lua 5.1.5, 5.2.4, 5.3.6 a 5.4.4
  • MariaDB 10.9.4
  • Mono 6.12.0.182
  • Mozilla Firefox 111.0 a ESR 102.9.0
  • Mozilla Thunderbird 102.9.0
  • Mutt 2.2.9 a NeoMutt 20220429
  • Node.js 18.15.0
  • OCaml 4.12.1
  • OpenLDAP 2.6.4
  • PHP 7.4.33, 8.0.28, 8.1.16 a 8.2.3
  • Postfix 3.5.17 a 3.7.3
  • PostgreSQL 15.2
  • Python 2.7.18, 3.9.16, 3.10.10 a 3.11.2
  • Qt 5.15.8 a 6.4.2
  • R 4.2.1
  • Ruby 3.0.5, 3.1.3 a 3.2.1
  • Rust 1.68.0
  • SQLite 2.8.17 a 3.41.0
  • Shotcut 22.12.21
  • Sudo 1.9.13.3
  • Suricata 6.0.10
  • Tcl/Tk 8.5.19 a 8.6.13
  • TeX Live 2022
  • Vim 9.0.1388 a Neovim 0.8.3
  • Xfce 4.18
• Aktualizovány komponenty od třetích stran obsažené v OpenBSD 7.3:
  • Grafický stack Xenocara založený na X.Org 7.7 s xserver 1.21.6 + patche, freetype 2.12.1, fontconfig 2.14, Mesa 22.3.4, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.2.
  • LLVM/Clang 13.0.0 (+ opravy)
  • GCC 4.2.1 (+ patche) a 3.3.6 (+ patche)
  • Perl 5.36.1 (+ opravy)
  • NSD 4.6.1
  • Unbound 1.17
  • Ncurses 5.7
  • Binutils 2.17 (+ patche)
  • Gdb 6.3 (+ patche)
  • Awk 12.9.2022
  • Expat 2.5.0.

  Zdroj: opennet.ru