Veröffentlichung des Paketmanagers Pacman 5.2

Verfügbar Release des Paketmanagers Pacman 5.2, das in der Arch Linux-Distribution verwendet wird. Aus Änderungen kann man herausstellen:

• Die Unterstützung für Delta-Updates wurde vollständig entfernt, die es ermöglichten, nur Änderungen herunterzuladen. Diese Möglichkeit wurde aufgrund einer entdeckten Sicherheitsanfälligkeit entfernt (CVE-2019-18183), die es ermöglichte, beliebige Befehle im System auszuführen, wenn unsignierte Datenbanken verwendet wurden. Um einen Angriff durchzuführen, musste der Benutzer vorbereitete Dateien mit Datenbank und Delta-Update vom Angreifer herunterladen. Die Unterstützung für Delta-Updates wurde standardmäßig deaktiviert und war nicht weit verbreitet. In Zukunft ist geplant, die Implementierung von Delta-Updates vollständig neu zu schreiben;
• Im Handler für den Befehl XferCommand wurde eine Sicherheitsanfälligkeit behoben (CVE-2019-18182), die es bei MITM-Angriffen und unsignierten Datenbanken ermöglichte, eigene Befehle im System auszuführen;
• In makepkg wurde die Möglichkeit hinzugefügt, Handler zum Herunterladen von Quellpaketen und zur Überprüfung mit digitaler Signatur zu verbinden. Es wurde Unterstützung für die Komprimierung von Paketen mit den Algorithmen lzip, lz4 und zstd hinzugefügt. In repo-add wurde die Unterstützung für die Komprimierung von Datenbanken mit zstd hinzugefügt. In naher Zukunft wird Arch Linux openSUSE/SUSE standardmäßig auf die Verwendung von zstd umschalten, was im Vergleich zum Algorithmus „xz“ die Komprimierungs- und Dekomprimierungsoperationen beschleunigt, während der Komprimierungsgrad beibehalten wird;
• Es wurde die Möglichkeit geschaffen, mit dem Meson-Build-System anstelle von Autotools zu bauen. In der nächsten Version wird Meson Autotools vollständig ersetzen;
• Die Unterstützung für das Herunterladen von PGP-Schlüsseln mit dem Mechanismus Web Key Directory (WKD) wurde hinzugefügt, dessen Funktionsweise darin besteht, öffentliche Schlüssel im Web zu platzieren, gekoppelt an die Domain, die in der E-Mail-Adresse angegeben ist. Zum Beispiel kann für die Adresse „test@example.com“ der Schlüssel über den Link „https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfc5ece9a5f94e6039d5a“ heruntergeladen werden. Das Herunterladen von Schlüsseln über WKD ist in pacman, pacman-key und makepkg standardmäßig aktiviert;
• Die Option „—force“ wurde entfernt, stattdessen wurde vor über einem Jahr eine präzisere Option „—overwrite“ vorgeschlagen;
• In den Suchergebnissen von Dateien mit der Option „-F“ wird erweiterte Information ausgegeben, wie z. B. die Paketgruppe und der Installationsstatus.

Quelle: opennet.ru