Veröffentlichung von Red Hat Enterprise Linux 10.3 und 9.9

Die Firma Red Hat hat die Version 10.3 des Red Hat Enterprise Linux-Distributions veröffentlicht sowie ein Update der vorherigen Version — Red Hat Enterprise Linux 9.9. Die fertig installierbaren Images sind für registrierte Benutzer im Red Hat Customer Portal verfügbar (für die Bewertung der Funktionalität können öffentlich zugängliche ISO-Images von CentOS Stream 10 sowie kostenlose RHEL-Entwicklerversionen verwendet werden). Die Ausgabe wurde für die Architekturen x86_64, s390x (IBM System z), ppc64le (POWER9), Aarch64 (ARM64) und RISC-V (Preview) erstellt. Die Version RHEL 10 wird bis 2035 unterstützt (+ 4 Jahre erweiterter kostenpflichtiger Support), RHEL 9 bis Ende Mai 2032 und RHEL 8 bis 2029.

Die RHEL-Pakete sind nicht im öffentlichen Repository git.centos.org verfügbar und werden den Kunden des Unternehmens nur über den geschlossenen Bereich der Website zur Verfügung gestellt, auf dem eine Benutzervereinbarung (EULA) gilt, die die Weiterverbreitung von Daten, die über das Kundenportal heruntergeladen wurden, verbietet. Dies schafft rechtliche Risiken beim Einsatz dieser Pakete zur Erstellung abgeleiteter Distributionen. Der Quellcode von RHEL bleibt im CentOS Stream-Repository verfügbar, ist jedoch nicht vollständig mit RHEL synchronisiert, und die Versionen der darin enthaltenen Pakete stimmen nicht immer mit den Paketen aus RHEL überein. Rocky Linux, Oracle und SUSE stellen die Quelltexte der RPM-Pakete der RHEL-Veröffentlichungen im Rahmen des OpenELA-Projekts bereit.

Hauptänderungen in RHEL 10.3 (die meisten der genannten Änderungen sind auch in RHEL 9.9 vorhanden):

• Die Unterstützung für post-quantenverschlüsselnde Algorithmen wurde erweitert. In SSH wurde die Unterstützung der Algorithmen mlkem768nistp256-sha256 und mlkem1024nistp384-sha384 hinzugefügt. In libreswan wurde in der Implementierung der Protokolle IPsec und IKE (Internet Key Exchange) die Unterstützung für pot-quanten-verschlüsselnde Schlüsselübergabealgorithmen ML-KEM-768 und ML-KEM-1024 hinzugefügt. Im Paket rust-sequoia-sqv, das die gpgv-Nutzanwendung in Rust implementiert, wurde vollständige Unterstützung für post-quantenverschlüsselnde Algorithmen, die in der neuen OpenPGP-Spezifikation definiert sind, hinzugefügt. Im Paket audit wurde die Unterstützung für post-quantenverschlüsselnde Algorithmen in TLS 1.3 und die Verwendung von PSK-Authentifizierung bei der Übertragung von Protokollen auf externe Hosts hinzugefügt. In OpenSC wurde die Unterstützung für die Spezifikation PKCS #11 v3.2 und post-quantenverschlüsselung hinzugefügt.
• Die eBPF- und Perf-Subsysteme wurden mit dem Linux-Kernel 6.19 synchronisiert.
• In den Kernel-Builds für CentOS Stream sind in das RV (Runtime Verification) Subsystem, das zur Überprüfung der Korrektheit von hochzuverlässigen Systemen bestimmt ist, die Monitoring-Komponenten "sched" zur Analyse des Verhaltens des Task-Schedulers und "rtapp" (Real-time application monitor) zur Überwachung typischer Probleme in Echtzeitanwendungen integriert.
• Im Werkzeug rtla, das zur Analyse des Betriebserlebnisses im Echtzeitmodus des Kernels verwendet wird, wurde die Unterstützung für die Verbindung eigener eBPF-Handler hinzugefügt, um Aktionen bei Überschreitung bestimmter Schwellenwerte auszuführen, und die Analysefunktionen der EFI-Stack-Calls mithilfe des Timerlat-Tools wurden erweitert.
• Im IMA (Integrity Measurement Architecture)-Mechanismus, der zur Überprüfung der Integrität der Betriebssystemkomponenten anhand digitaler Signaturen und Hashes verwendet wird, wurden die Prüfungen für einige Dateisysteme, die zuvor ignoriert wurden (z.B. tmpfs und ramfs), verschärft.
• Im Kernel-Modul tboot (Trusted Boot) wurde die Unterstützung für Intel TXT (Trusted Execution Technology) erweitert.
• Die Unterstützung für die Intel RDT (Intel Resource Director Technology) wurde verbessert, was die Überwachung und Einschränkung der Nutzung bestimmter CPU-Ressourcen ermöglicht.
• Ein experimenteller Treiber amdxdna für NPU-Chips (Neural Processing Unit) von AMD wurde eingeführt.
• Es wurde die Möglichkeit geschaffen, das Konsolen-Tool image-builder zur Erstellung von Systemabbildern mit festgelegten Parametern und Einstellungen zu verwenden. Das Tool bootc-image-builder wird als veraltet betrachtet, wird jedoch im Rahmen des RHEL 10-Zycles weiterhin unterstützt. Im Web-Interface wurde die Unterstützung für das Erstellen von bootc-kompatiblen Abbildern aus beliebigen Basisabbildern, die im aktuellen System verfügbar sind, einschließlich Abbildern von Fedora, CentOS Stream und beliebigen Containern, hinzugefügt. Die Bezeichnungen der Systemabbildtypen wurden zwischen dem Konsolen-Tool und dem Web-Interface synchronisiert (z. B. aws für Amazon Machine Image (AMI) und guest-image für QCOW2). Es wurde die Unterstützung zur Erstellung eigener Builds für die Hummingbird-Distribution (Fedora-Edition auf Containerbasis) hinzugefügt.
• In der Edition RHEL for Edge wurde die Möglichkeit zur Bereitstellung von Edge-Systemen mithilfe von FIDO Device Onboard (FDO) realisiert. Die FDO-Implementierung in Rust (fdo-rs, fido-device-onboard) wurde durch die Go-Variante go-fdo ersetzt, und die in Bash geschriebene Toolset greenboot wurde durch eine Implementierung in Rust (greenboot-rs) ersetzt. Bei Aktualisierungen wird eine automatische Umstellung der Abbilder von bootc auf die Verwendung von greenboot-rs sichergestellt. Greenboot wird in atomar aktualisierbaren Varianten von RHEL verwendet, um den Zustand des Systems beim Booten zu überprüfen und bei entdeckten Problemen auf eine vorherige Version zurückzukehren.
• Im fapolicyd-Framework (File Access Policy Daemon), das definiert, welche Programme von einem bestimmten Benutzer ausgeführt werden dürfen und welche nicht, wurden mehrfädige parallele Verarbeitungen von Operationen, dynamische Anpassung der DB-Größe und Integration mit dem watchdog-Dienst von systemd implementiert.
• Neue Systemrollen (System Roles) wurden hinzugefügt: auditd zur Automatisierung der Verwaltung des Prozesses der Systemaudits, trustee_server und trustee_client zur Automatisierung der Bereitstellung von Server- und Client-Komponenten für vertrauliche virtuelle Maschinen mit hardwarebasierter Speicherverschlüsselung (CVM, Confidential Virtual Machine).
• In SELinux wurden die Regeln powerprofiles_t in den Modus „enforcing“ versetzt,
  qgs_t,
  redfish_finder_t,
  sshd_auth_t,
  sshd_session_t,
  systemd_mountfsd_t und
  systemd_oomd_t. Der Dienst go-fdo-server wurde unter SELinux geschützt.
• Für dnf-automatic wurde eine Neustart-Sperre während der automatischen Installation von Paketaktualisierungen implementiert.
• Dem rpmdb-Tool wurde das Flag "—parkdb" hinzugefügt, um die RPM-Datenbank bei der Arbeit mit nur lesbaren Medien zu optimieren.
• Enthalten sind Pakete mit den Modulen mod_security (Firewall zum Schutz von Webanwendungen) und mod_security_crs (OWASP Core Rule Set) für Apache httpd.
• Im GNOME Kiosk Composite-Manager, der zur Erstellung von Internet-Kiosken dient, wurden die Funktionen für Menschen mit Behinderungen erweitert. Eine spezielle große Bedienleiste, die Möglichkeit, Bildschirmbereiche zu vergrößern, und die Option zur Deaktivierung von Animationen wurden hinzugefügt.
• In GNOME wurde in den Anzeigeeinstellungen eine Option zur Steuerung der automatischen Drehung des Bildschirms basierend auf den Angaben des Beschleunigungssensors integriert.
• Auf Systemen mit AMD-Chips wurde die Unterstützung von Kameras mit dem MIPI-Interface (Mobile Industry Processor Interface) realisiert.
• Die Leistung des virtio-fs-Treibers für Windows-Gastsysteme wurde verbessert.
• Im Podman-Toolkit wurde die Möglichkeit hinzugefügt, mehrere statische IP-Adressen IP-Adressen für eine einzelne Netzwerkschnittstelle beim Erstellen eines Containers zuzuweisen.
• Im NetworkManager wurde die Unterstützung für GENEVE-Tunnel und den CLAT-Mechanismus (Customer-side Translator, 464XLAT) hinzugefügt, um Anwendungen, die nur IPv4 unterstützen, auf einem Host mit IPv6 zu betreiben. Die Möglichkeit zur Verwendung der API Nmstate zur Konfiguration von IPv4 over IPv4 (IPIP),
  IPv4 over IPv6 (IPIP6),
  IPv6 over IPv6 (IP6IP6) und
  Simple Internet Transition (SIT) wurde implementiert.
• In Stratis, einem Werkzeug zur Verwaltung von logischen Partitionen, wurde die Möglichkeit zur Konvertierung unverschlüsselter Poolpartitionen in verschlüsselte eingeführt.
• Es wurde experimentelle (Technology Preview) Unterstützung für die asynchrone Eingabe-/Ausgabesubsystem io_uring hinzugefügt (standardmäßig deaktiviert, kann über /proc/sys/kernel/io_uring_disabled aktiviert werden).
• Es wurden experimentelle Pakete crypto-auditing-agent und crypto-auditing-log-parser zum Verfolgen und Auditing kryptografischer Operationen, die von Bibliotheken im Benutzerbereich durchgeführt werden, hinzugefügt (zur Analyse werden eBPF und USDT-Checks verwendet).
• Die experimentelle Möglichkeit, Smartcards zu einem entfernten GNOME-Desktop (GNOME Remote Desktop) über das RDP-Protokoll weiterzuleiten, wurde hinzugefügt.
• Im GDM (GNOME Display Manager) wurde die Unterstützung für passwortlose Authentifizierungsmethoden, beispielsweise durch biometrische Authentifizierung und passkey-Technologie, implementiert.
• Die Unterstützung des WEP (Wired Equivalent Privacy) Protokolls wurde bei der Verbindung zu drahtlosen Netzwerken eingestellt.
• Der MCP Server wurde für den Einsatz bereit erklärt und ermöglicht die Verbindung von KI-Agenten sowie den Zugriff auf Systemdaten zur Problemdiagnose.
• Ein experimenteller KI-Assistent wurde vorgeschlagen, der kontextbezogene Hinweise und Erklärungen in der Eingabeaufforderung bereitstellt. Dabei kann sowohl ein lokal ausgeführtes KI-Modell als auch ein externer Dienst verwendet werden.
• Die Implementierung von „versiegelten“ (sealed) Images wurde stabilisiert, um kryptografischen Schutz der Integrität zu gewährleisten, der sicherstellt, dass das laufende System Bit für Bit mit dem übereinstimmt, was ursprünglich bereitgestellt und signiert wurde.
• Die Versionen der Entwicklerpakete wurden aktualisiert: GCC 16.2, LLVM 22.1.8, Go 1.27.3, Rust 1.97, gdb 17.2, Valgrind 3.27.1, valkey 8.1, Node.js 26.
• Die Serverpakete wurden aktualisiert: iproute 7.0.0, netfilter 7.2, libreswan 5.4, libcap-ng 0.9.3 (mit neuem Tool cap-audit), Grafana 12.4.3, firewalld 2.4.2, Podman 6.0.
• Die Systempakete wurden aktualisiert: Binutils 2.46, audit 4.2.1, bootc 1.16.4, ostree 2026.3, opencryptoki 3.27.0, sequoia-sqv 1.5.0,
  SELinux 3.11, SystemTap 5.5, fwupd 2.1.6.
• Neue Treiber hinzugefügt:
  • stmmac — STMicroelectronics Multi-Gigabit Ethernet
  • dwmac-starfive — StarFive DWMAC Ethernet
  • smbdirect — CIFS SMB Direct (RDMA)
  • dibs (Data Integrity Block Store)
  • spi-nor — SPI NOR Flash
  • spi-cadence-quadspi — Cadence Quad SPI
  • spi-fsl-quadspi — Freescale QuadSPI
  • mmc-dw-starfive — StarFive MMC/SD
  • sdhci-of-k1 — SpaceMit K1 SDHCI
  • at24 — AT24 I2C EEPROM
  • amd-isp4 — AMD ISP4 (Video Capture Device)
  • snd-sof-novalake — Intel NovaLake Sound Open Firmware
  • snd-soc-tas2781-i2c — TI TAS2781 I2C Sound Amplifier
  • dwc3 — Synopsys DesignWare USB3 DRD
  • cdns3 — Cadence USB3
  • xhci-plat-hcd — Generic xHCI
  • gpio-dwapb — Synopsys DesignWare APB GPIO
  • gpio-novalake — Intel Nova Lake GPIO ACPI
  • gpio-spacemit-k1 — SpaceMit K1 GPIO
  • spd5118 — SPD5118 Temperatur-Sensor
  • spacemit — SoC SpaceMit
  • starfive — SoC StarFive
  • eswin — SoC Eswin
  • mediatek — SoC MediaTek
  • arm64-mpam — ARM64 MPAM (Memory Partitioning and Monitoring)
  • riscv-iommu — RISC-V IOMMU
  • resctrl — Pseudo-FS zur Ressourcenverwaltung
  • nvidia-tegra410-c2c-pmu — NVIDIA Tegra410 C2C PMU
  • nvidia-tegra410-cmem-latency-pmu — NVIDIA Tegra410 PMU
  • rpmsg_virtio — virtio-Treiber für RPM (Remote Processor Messaging)
  • ti-k3-dsp-remoteproc — TI K3 DSP
  • hid-haptic — HID haptisches Touchpad
  • starfive-wdt — StarFive Watchdog

Quelle: opennet.ru