lancement du gestionnaire de paquets , utilisé dans la distribution Arch Linux. Parmi on peut выделить :
- La prise en charge des mises à jour delta, permettant de télécharger uniquement les modifications, a été complètement supprimée. Cette fonctionnalité a été retirée en raison de la découverte d'une vulnérabilité (), permettant l'exécution de commandes arbitraires dans le système en utilisant des bases de données non signées. Pour attaquer, il est nécessaire que l'utilisateur télécharge des fichiers préparés par l'attaquant avec des bases de données et une mise à jour delta. La prise en charge des mises à jour delta a été désactivée par défaut et n'a pas été largement adoptée. Il est prévu à l'avenir de réécrire complètement la mise en œuvre des mises à jour delta ;
- La vulnérabilité () a été corrigée dans le gestionnaire de commandes XferCommand, permettant lors des attaques MITM avec une base de données non signée d'exécuter ses propres commandes dans le système ;
- Dans makepkg, la possibilité d'ajouter des gestionnaires pour télécharger des paquets source et vérifier par signature numérique a été ajoutée. Ajout de la prise en charge de la compression des paquets utilisant les algorithmes lzip, lz4 et zstd. Dans repo-add, la prise en charge de la compression des bases de données utilisant zstd a été ajoutée. Dans un avenir proche, Arch Linux passera par défaut à l'utilisation de zstd, ce qui, par rapport à l'algorithme « xz », permettra d'accélérer les opérations de compression et de décompression des paquets tout en maintenant le niveau de compression ;
- Il est désormais possible de compiler en utilisant le système Meson à la place d'Autotools. Dans la prochaine version, Meson remplacera complètement Autotools ;
- Ajout de la prise en charge du téléchargement des clés PGP en utilisant le mécanisme (WKD), dont le principe de fonctionnement repose sur le placement de clés publiques sur le web en lien avec le domaine spécifié dans l'adresse e-mail. Par exemple, pour l'adresse « test@example.com », la clé peut être téléchargée via le lien « https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfc5ece9a5f94e6039d5a ». Le téléchargement des clés via WKD est activé par défaut dans pacman, pacman-key et makepkg ;
- L'option « --force » a été supprimée, à la place de laquelle a été proposée il y a plus d'un an une option « --overwrite » qui reflète plus précisément la nature de l'opération ;
- Dans les résultats de recherche de fichiers utilisant l'option « -F », des informations détaillées, telles que le groupe de paquets et le statut d'installation, sont garanties.
Source : opennet.ru
