Udgivelse af Pacman 5.2-pakkehåndtering

Ledig pakkehåndteringsudgivelse Pacman 5.2, brugt i Arch Linux-distributionen. Fra ændringer kan skelnes:

• Understøttelse af delta-opdateringer er blevet fuldstændig fjernet, så kun ændringer kan downloades. Funktionen er blevet fjernet på grund af, at en sårbarhed er blevet identificeret (CVE-2019-18183), som giver dig mulighed for at køre vilkårlige kommandoer i systemet, når du bruger usignerede databaser. For et angreb er det nødvendigt for brugeren at downloade filer, der er udarbejdet af angriberen med en database og deltaopdatering. Understøttelse af delta-opdateringer var som standard deaktiveret og blev ikke brugt bredt. I fremtiden er det planlagt fuldstændigt at omskrive implementeringen af ​​delta-opdateringer;
• En sårbarhed er blevet rettet i XferCommand-kommandohåndteringen (CVE-2019-18182), der tillader, i tilfælde af et MITM-angreb og en usigneret database, at opnå eksekvering af sine kommandoer i systemet;
• Makepkg har tilføjet muligheden for at forbinde handlere til download af kildepakker og kontrol med digital signatur. Tilføjet understøttelse af pakkekomprimering ved hjælp af lzip, lz4 og zstd algoritmerne. Tilføjet understøttelse af databasekomprimering ved hjælp af zstd for at genføje. Kommer snart til Arch Linux forventes skifte til at bruge zstd som standard, som sammenlignet med "xz"-algoritmen vil fremskynde operationerne med at komprimere og dekomprimere pakker, samtidig med at komprimeringsniveauet opretholdes;
• Det er muligt at samle ved hjælp af Meson-systemet i stedet for Autotools. I den næste udgivelse vil Meson fuldstændig erstatte Autotools;
• Tilføjet support til indlæsning af PGP-nøgler ved hjælp af Webnøglemappe (WKD), hvis essens er at placere offentlige nøgler på nettet med et link til det domæne, der er angivet i postadressen. For eksempel for adressen "[e-mail beskyttet]"Nøglen kan downloades via linket "https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfc5ece9a5f94e6039d5a". Indlæsning af nøgler via WKD er aktiveret som standard i pacman, pacman-key og makepkg;
• "--force"-muligheden er blevet fjernet, i stedet for hvilken "--overwrite"-indstillingen, som mere præcist afspejler essensen af ​​operationen, blev foreslået for mere end et år siden;
• Filsøgeresultater ved hjælp af -F-indstillingen giver udvidet information såsom pakkegruppe og installationsstatus.

Kilde: opennet.ru