Mise à jour du gestionnaire de paquets APT 2.9.20

Publication de la version 2.9.20 de l'outil de gestion des paquets APT (Advanced Package Tool). La branche 2.9.x est expérimentale et utilisée pour le développement de fonctionnalités pour la future version stable APT 3.0, qui sera intégrée dans Debian Testing après stabilisation et figurera dans la prochaine version majeure de Debian, ainsi qu'ajoutée à la base de paquets d'Ubuntu.

Modifications depuis la dernière annonce :

• APT 2.9.16 : Correction d'une régression survenue après le changement des méthodes de gestion des clés dans la version 2.9.15, qui a provoqué le mécontentement du mainteneur de dpkg en raison de l'incompatibilité avec certains dépôts.
• APT 2.9.17 :
  • Introduction d'une interface abstraite pour travailler avec les hachages, mise en œuvre dans le cadre de la libération de l'attachement à une seule bibliothèque cryptographique.
  • Correction d'un problème dans l'algorithme de comparaison des versions, qui se manifestait lors de l'utilisation de l'option « —no-strict-pinning ».
  • Prise en compte du niveau de débogage dans les messages diagnostiques.
  • Nettoyage des mentions de l'outil apt-key.

    Ajout d'un guide pour la configuration sécurisée des sources dans la page man d'apt-secure.
  • Dans gpgv, retournement de la fusion de tous les dépôts de clés (keyring) pendant l'exécution. Étant donné que le fichier avec le dépôt de clés commun est placé dans un système de fichiers tmpfs, dont le contenu peut être évacué vers une partition d'échange, cette approche peut entraîner une usure accrue des SSD basés sur la mémoire Flash. L'auteur de la nouvelle recommande d'utiliser un canal anonyme (fifo), dont l'extrémité distante peut être transmise à un autre processus sous la forme d'un fichier « /proc//fd/ », ou comme une page de mémoire accessible de manière similaire sous la forme d'un fichier.
  • Refactorisation mineure effectuée : création d'une fonction distincte pour vérifier la signature d'un fichier.
• APT 2.9.18 :
  • Mise en œuvre de la pagination automatique pour les sorties des commandes « show », « policy », « list », « search » et « showsrc », fonctionnant dans le style de git et activable via la configuration Binary::apt::Pager. L'application de pagination est déterminée via la variable d'environnement PAGER.
  • La sortie de la commande « apt show —full » a été enrichie d'informations sur le pinning des paquets, obtenues à partir des champs APT-Pin, APT-Candidate et APT-Release.
  • Correction d'une vulnérabilité permettant à la commande « apt show » de lire des zones mémoire en dehors du tampon alloué.
• APT 2.9.19 :
  • Un backend cryptographique pour la bibliothèque OpenSSL a été ajouté, remplaçant GnuTLS et Gcrypt.
  • Ajout de la possibilité d'utiliser l'outil sqv du projet Sequoia pour vérifier les signatures numériques au lieu d'appeler gpgv. Dans le code d'interface pour sqv, l'utilisation suspecte de fichiers temporaires se poursuit lors du travail avec les clés.
  • Jusqu'en 2026, l'utilisation de signatures auto-signées basées sur l'algorithme SHA-1 est autorisée.
• APT 2.9.20 : Ajout d'une recommandation officielle pour nommer les fichiers dans /etc/apt/sources.list.d/ comme « $(dpkg-vendor —query Vendor | tr A-Z a-z).sources » — le nom du fournisseur actuel en minuscules.

Source : opennet.ru