Udgivelse af OpenBSD 7.3

Udgivelsen af det frie UNIX-lignende operativsystem OpenBSD 7.3 er nu tilgængelig. OpenBSD-projektet blev grundlagt af Theo de Raadt i 1995 efter en konflikt med udviklerne af NetBSD, som resulterede i, at Theo mistede adgangen til CVS-repositoriet for NetBSD. Herefter oprettede Theo de Raadt sammen med en gruppe ligesindede et nyt åbent operativsystem baseret på kilden til NetBSD, med hovedmålene om bærbarhed (understøtter 13 hardwareplatforme), standardisering, korrekt funktionalitet, proaktive sikkerhedsforanstaltninger og integrerede kryptografiske værktøjer. Den fulde installations-ISO-billede på OpenBSD 7.3 er på 620 MB.

Udover selve operativsystemet er OpenBSD-projektet kendt for sine komponenter, som er blevet udbredt i andre systemer og har vist sig at være nogle af de mest sikre og kvalitetsmæssige løsninger. Blandt dem finder vi: LibreSSL (fork af OpenSSL), OpenSSH, pakkefilteret PF, routing-daemonerne OpenBGPD og OpenOSPFD, NTP-serveren OpenNTPD, e-mail server OpenSMTPD, tekstterminalmultiplexer (svarende til GNU screen) tmux, identd-daemonen med implementering af IDENT-protokollen, BSDL-alternativet til GNU groff-pakken — mandoc, protokollen til opbygning af failover-systemer CARP (Common Address Redundancy Protocol), en letvægts http-server, OpenRSYNC-fil synkronisering.

Hovedforbedringer:

• Der er implementeret systemopkald waitid (venter på ændring i processtatus), pinsyscall (til at videregive oplysninger om indgangspunktet execve for beskyttelse mod ROP-angreb), getthrname og setthrname (hentning og indstilling af trådnavne).
• For alle arkitekturer anvendes clockintr, en hardware-uafhængig timer-afbryderplanlægger.
• Der er tilføjet sysctl kern.autoconf_serial, som kan bruges til at spore ændringer i tilstandene for device-træet i kernen fra brugerrummet.
• Støtten til multiprocessorsystemer (SMP) er forbedret. Eventfiltre for tun og tap-enheder er blevet kategoriseret som mp-sikre. Funktioner som select, pselect, poll, ppoll, getsockopt, setsockopt, mmap, munmap, mprotect, sched_yield, minherit og utrace er blevet frigivet fra lås. Desuden er ioctl SIOCGIFCONF, SIOCGIFGMEMB, SIOCGIFGATTR og SIOCGIFGLIST blevet forbedret. Ydeevnen i systemet og netværksstakken er forbedret på multi-core systemer.
• Implementeringen af drm (Direct Rendering Manager) er blevet synkroniseret med Linux-kernen 6.1.15 (i den tidligere version - 5.15.69). I amdgpu-driveren er der tilføjet støtte til GPU'erne Ryzen 7000 "Raphael", Ryzen 7020 "Mendocino", Ryzen 7045 "Dragon Range", Radeon RX 7900 XT/XTX "Navi 31", Radeon RX 7600M (XT), 7700S og 7600S "Navi 33". Der er tilføjet støtte til kontrol af baggrundsbelysningen i amdgpu og sikret, at xbacklight fungerer ved brug af X.Org-driversystemet. Shader-cache er som standard aktiveret i Mesa.
• Forbedringer er blevet foretaget i hypervisoren VMM.
• Der er implementeret muligheder for yderligere beskyttelse af processernes hukommelse i brugerrummet: systemopkaldet mimmutable og den relaterede biblioteksfunktion med samme navn, som gør det muligt at fastlåse adgangsrettigheder ved afspejling i hukommelse (memory mappings). Efter fastlåsning kan de tildelte rettigheder for hukommelsesområdet, eksempelvis forbud mod skrivning og udførsel, ikke ændres gennem efterfølgende opkald til funktionerne mmap(), mprotect() og munmap(), som ved forsøg på ændringer vil give fejlen EPERM.
• På AMD64-arkitekturen er mekanismen RETGUARD aktiveret for systemopkald, som har til formål at komplicere udførelsen af exploits, der er bygget ved hjælp af kodeinjektion og return-orienteret programmering.
• Der er tilføjet beskyttelse mod udnyttelse af sårbarheder, der er baseret på tilfældig omstrukturering af den eksekverbare fil sshd ved hver systemopstart. Omstruktureringen gør placeringerne af funktionerne i sshd mindre forudsigelige, hvilket besværliggør oprettelsen af exploits, der benytter metoder til return-orienteret programmering.
• Der er sikret en mere aggressiv randomisering af stakplaceringen på 64-bit systemer.
• Beskyttelse mod sårbarheden Spectre-BHB er blevet tilføjet i mikroarkitekturelle strukturer af processorer.
• På ARM64-processorer er DIT (Data Independent Timing) flaget aktiveret for både brugerrum og kerne for at blokere angreb via sidekanaler, der manipulerer tidsafhængighederne for udførelseskommandoer baseret på de data, der behandles i disse instruktioner.
• Muligheden for at bruge lladdr ved bestemmelse af netværkskonfigurationer er blevet tilføjet. For eksempel kan der udover binding til et interface-navn (hostname.fxp0) også anvendes binding til en MAC-adresse (hostname.00:00:6e:00:34:8f).
• Understøttelsen af dvaletilstand er blevet forbedret for systemer baseret på ARM64-arkitekturen.
• Understøttelsen af Apple ARM-chip er blevet betydeligt udvidet.
• Understøttelse af nyt hardware er blevet tilføjet, og nye drivere er inkluderet.
• I driveren bwfm for trådløse kort baseret på Broadcom- og Cypress-chips er der implementeret støtte til kryptering for WEP.
• Installeringsprogrammet har forbedret håndteringen af software RAID og implementeret indledende støtte til disk-kryptering (Guided Disk Encryption).
• I tmux ("terminal multiplexer") er der tilføjet nye kommandoer scroll-top og scroll-bottom til at rulle markøren til begyndelsen og slutningen. Pakkerne LibreSSL og OpenSSH er opdateret. En detaljeret oversigt over forbedringerne kan ses i anmeldelserne af LibreSSL 3.7.0, OpenSSH 9.2 og OpenSSH 9.3.
• Antallet af porte til AMD64-arkitektur er steget til 11764 (tidligere 11451), for aarch64 er det 11561 (tidligere 11261), og for i386 er det 10572 (tidligere 10225). Blandt versionerne af applikationer i portene er:
  • Asterisk 16.30.0, 18.17.0 og 20.2.0
  • Audacity 3.2.5
  • CMake 3.25.2
  • Chromium 111.0.5563.110
  • Emacs 28.2
  • FFmpeg 4.4.3
  • GCC 8.4.0 og 11.2.0
  • GHC 9.2.7
  • GNOME 43.3
  • Go 1.20.1
  • JDK 8u362, 11.0.18 og 17.0.6
  • KDE Gears 22.12.3
  • KDE Frameworks 5.103.0
  • Krita 5.1.5
  • LLVM/Clang 13.0.0
  • LibreOffice 7.5.1.2
  • Lua 5.1.5, 5.2.4, 5.3.6 og 5.4.4
  • MariaDB 10.9.4
  • Mono 6.12.0.182
  • Mozilla Firefox 111.0 og ESR 102.9.0
  • Mozilla Thunderbird 102.9.0
  • Mutt 2.2.9 og NeoMutt 20220429
  • Node.js 18.15.0
  • OCaml 4.12.1
  • OpenLDAP 2.6.4
  • PHP 7.4.33, 8.0.28, 8.1.16 og 8.2.3
  • Postfix 3.5.17 og 3.7.3
  • PostgreSQL 15.2
  • Python 2.7.18, 3.9.16, 3.10.10 og 3.11.2
  • Qt 5.15.8 og 6.4.2
  • R 4.2.1
  • Ruby 3.0.5, 3.1.3 og 3.2.1
  • Rust 1.68.0
  • SQLite 2.8.17 og 3.41.0
  • Shotcut 22.12.21
  • Sudo 1.9.13.3
  • Suricata 6.0.10
  • Tcl/Tk 8.5.19 og 8.6.13
  • TeX Live 2022
  • Vim 9.0.1388 og Neovim 0.8.3
  • Xfce 4.18
• Komponenter fra tredjepartsudviklere, der indgår i OpenBSD 7.3, er opdateret:
  • Grafikstakken Xenocara baseret på X.Org 7.7 med xserver 1.21.6 + patches, freetype 2.12.1, fontconfig 2.14, Mesa 22.3.4, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.2.
  • LLVM/Clang 13.0.0 (+ patches)
  • GCC 4.2.1 (+ patches) og 3.3.6 (+ patches)
  • Perl 5.36.1 (+ patches)
  • NSD 4.6.1
  • Unbound 1.17
  • Ncurses 5.7
  • Binutils 2.17 (+ patches)
  • Gdb 6.3 (+ patch)
  • Awk 12.9.2022
  • Expat 2.5.0.

  Kilde: opennet.ru