Sortie de Red Hat Enterprise Linux 10.3 et 9.9.

La société Red Hat a présenté la version du système d'exploitation Red Hat Enterprise Linux 10.3, ainsi qu'une mise à jour de l'ancienne branche — Red Hat Enterprise Linux 9.9. Des images d'installation prêtes à l'emploi sont disponibles pour les utilisateurs inscrits au Red Hat Customer Portal (des images ISO publiques de CentOS Stream 10, ainsi que des versions gratuites de RHEL pour développeurs, peuvent être utilisées pour évaluer les fonctionnalités). La version a été générée pour les architectures x86_64, s390x (IBM System z), ppc64le (POWER9), Aarch64 (ARM64) et RISC-V (preview). La branche RHEL 10 sera prise en charge jusqu'en 2035 (+ 4 ans de support payant prolongé), RHEL 9 — jusqu'à fin mai 2032, et RHEL 8 — jusqu'en 2029.

Les paquets RHEL ne sont pas disponibles dans le dépôt public git.centos.org et sont fournis aux clients de l'entreprise uniquement par le biais d'une section sécurisée du site, où un accord d'utilisation (EULA) interdit la redistribution des données téléchargées via le portail client, ce qui crée des risques juridiques lors de l'utilisation de ces paquets pour créer des distributions dérivées. Les codes sources de RHEL restent accessibles dans le dépôt de CentOS Stream, mais il n'est pas entièrement synchronisé avec RHEL et les versions des paquets ne correspondent pas toujours à celles de RHEL. Rocky Linux, Oracle et SUSE reproduisent les codes sources des paquets rpm des versions RHEL dans le cadre du projet OpenELA.

Principales modifications dans RHEL 10.3 (la plupart des changements indiqués sont également présents dans RHEL 9.9) :

• Le support des algorithmes de cryptographie post-quantique a été élargi. Dans SSH, la prise en charge des algorithmes mlkem768nistp256-sha256 et mlkem1024nistp384-sha384 a été ajoutée. Dans libreswan, un support des algorithmes post-quantiques d'échange de clés ML-KEM-768 et ML-KEM-1024 a été ajouté aux implémentations des protocoles IPsec et IKE (Internet Key Exchange). Le paquet rust-sequoia-sqv, qui implémente l'outil gpgv en Rust, a ajouté un support complet pour les algorithmes de cryptographie post-quantique, définis dans les nouvelles spécifications OpenPGP. Le paquet audit a ajouté le support des algorithmes post-quantiques dans TLS 1.3 et pour l'utilisation de l'authentification PSK lors de l'envoi de journaux vers des hôtes externes. Dans OpenSC, le support de la spécification PKCS #11 v3.2 et de la cryptographie post-quantique a été ajouté.
• Les sous-systèmes eBPF et Perf ont été synchronisés avec le noyau Linux 6.19.
• Dans les versions du noyau pour CentOS Stream, le sous-système RV (Runtime Verification), destiné à vérifier le bon fonctionnement des systèmes hautement fiables, inclut les composants de surveillance « sched » pour analyser le comportement de l'ordonnanceur de tâches et « rtapp » (moniteur d'application en temps réel) pour suivre les problèmes typiques dans les applications fonctionnant en temps réel.
• Dans l'outil rtla, utilisé pour analyser les performances en mode temps réel dans le noyau, la prise en charge de la connexion de gestionnaires eBPF personnalisés pour effectuer des actions en cas de dépassement de certaines valeurs seuils a été ajoutée, et les capacités d'analyse des piles d'appels EFI ont été étendues à l'aide de l'outil timerlat.
• Dans le mécanisme IMA (Integrity Measurement Architecture), utilisé pour vérifier l'intégrité des composants du système d'exploitation par des signatures numériques et des hachages, les vérifications ont été renforcées sur certains systèmes de fichiers qui étaient auparavant ignorés (par exemple, tmpfs et ramfs).
• Dans le module noyau tboot (Trusted Boot), la prise en charge de la technologie Intel TXT (Trusted Execution Technology) a été étendue.
• La prise en charge de l'extension Intel RDT (Intel Resource Director Technology) a été améliorée, permettant de suivre et de limiter l'utilisation de certaines ressources processeur.
• Un pilote expérimental amdxdna pour les puces NPU (Neural Processing Unit) d'AMD a été inclus.
• La possibilité d'utiliser l'outil en ligne de commande image-builder pour créer des images système avec des paramètres et configurations définis a été fournie. L'outil bootc-image-builder a été déclaré obsolète, mais continuera à être pris en charge dans le cycle RHEL 10. La console web a ajouté le support de la création d'images compatibles avec bootc à partir de n'importe quelle image de base disponible dans le système actuel, y compris des images de Fedora, CentOS Stream et de conteneurs arbitraires. Les noms des types d'images système ont été synchronisés entre l'outil en ligne de commande et l'interface web (par exemple, aws pour Amazon Machine Image (AMI) et guest-image pour QCOW2). Le support a été ajouté pour la création de constructions personnalisées pour la distribution Hummingbird (édition Fedora basée sur des conteneurs).
• Dans l'édition RHEL for Edge, la possibilité de déployer des systèmes edge à l'aide de FIDO Device Onboard (FDO) a été mise en œuvre. La mise en œuvre de FDO en Rust (fdo-rs, fido-device-onboard) a été remplacée par une version go-fdo en Go, tandis que l'outil en bash greenboot a été remplacé par une mise en œuvre en Rust (greenboot-rs). Lors de la mise à jour, un transfert automatique des images de bootc vers l'utilisation de greenboot-rs a été assuré. Greenboot est utilisé dans les variantes de RHEL à mise à jour atomique pour vérifier l'état du système au démarrage et revenir à une version précédente en cas de problèmes.
• Dans le cadre de fapolicyd (File Access Policy Daemon), qui définit quels programmes peuvent être exécutés par un utilisateur donné et lesquels ne le peuvent pas, un traitement parallèle multithread a été mis en œuvre, ainsi qu'une modification dynamique de la taille de la base de données et une intégration avec le service watchdog systemd.
• De nouveaux rôles système (System Roles) ont été ajoutés : auditd pour automatiser la gestion du processus d'audit système ; trustee_server et trustee_client pour automatiser le déploiement des composants serveur et client de la confidentialité. machines virtuelles avec le chiffrement matériel de la mémoire (CVM, Confidential Virtual Machine).
• Dans SELinux, les règles powerprofiles_t ont été mises en mode « enforcing »,
  qgs_t,
  redfish_finder_t,
  sshd_auth_t,
  sshd_session_t,
  systemd_mountfsd_t et
  systemd_oomd_t. Le service go-fdo-server a été transféré sous la protection de SELinux.
• La fonction d'auto-mise à jour de dnf-automatic dispose désormais d'un verrou pour empêcher le redémarrage pendant l'installation automatique des mises à jour des paquets.
• Un nouveau drapeau «--parkdb» a été ajouté à l'utilitaire rpmdb pour optimiser la base de données RPM lorsqu'elle est exécutée sur des supports accessibles uniquement en mode lecture.
• Les paquets contenant les modules mod_security (pare-feu pour la protection des applications web) et mod_security_crs (ensemble de règles de base OWASP) pour Apache httpd ont été inclus.
• Dans le gestionnaire composite GNOME Kiosk, conçu pour créer des kiosques Internet, les outils pour les personnes ayant des handicaps ont été améliorés. Un grand panneau spécial a été ajouté, ainsi que la possibilité d'agrandir les zones d'écran et une option pour désactiver les animations.
• Dans GNOME, les paramètres d'affichage incluent désormais une option pour gérer la rotation automatique de l'écran en fonction des données de l'accéléromètre.
• La prise en charge des caméras avec une interface MIPI (Mobile Industry Processor Interface) a été mise en œuvre sur les systèmes équipés de puces AMD.
• Les performances du pilote virtio-fs pour les systèmes invités Windows ont été améliorées.
• L'outil Podman a été enrichi de la possibilité d'attribuer plusieurs adresses IP statiques adresses IP pour une seule interface réseau lors de la création d'un conteneur.
• Le NetworkManager prend en charge les tunnels GENEVE et le mécanisme CLAT (Customer-side Translator, 464XLAT) pour faire fonctionner les applications qui ne supportent que l'IPv4 sur un hôte avec IPv6. L'API Nmstate peut maintenant être utilisée pour configurer des tunnels IPv4 sur IPv4 (IPIP),
  IPv4 sur IPv6 (IPIP6),
  IPv6 sur IPv6 (IP6IP6) et
  Simple Internet Transition (SIT).
• Dans Stratis, l'outil de gestion des partitions logiques, il est désormais possible de convertir des pools non chiffrés en pools chiffrés.
• Un support expérimental (Technology Preview) pour le sous-système d'entrées/sorties asynchrones io_uring a été ajouté (désactivé par défaut, à activer via /proc/sys/kernel/io_uring_disabled).
• Des paquets expérimentaux crypto-auditing-agent et crypto-auditing-log-parser ont été ajoutés pour le traçage et l'audit des opérations cryptographiques effectuées par les bibliothèques dans l'espace utilisateur (eBPF et vérifications USDT sont utilisés pour l'analyse).
• Une fonctionnalité expérimentale de redirection des cartes intelligentes vers le bureau à distance GNOME (GNOME Remote Desktop) via le protocole RDP a été ajoutée.
• Le gestionnaire d'affichage GDM (GNOME Display Manager) prend désormais en charge les méthodes d'authentification sans mot de passe, comme l'authentification biométrique et la technologie passkey.
• La prise en charge du protocole WEP (Wired Equivalent Privacy) a été interrompue lors de la connexion à des réseaux sans fil.
• Le serveur MCP a été déclaré prêt à l'utilisation, permettant la connexion d'agents AI et leur fournissant un accès aux données système pour diagnostiquer des problèmes.
• Un assistant AI expérimental a été proposé, fournissant des indications contextuelles et des explications dans la ligne de commande. On peut l'utiliser comme un modèle AI exécuté localement ou comme un service externe.
• La mise en œuvre des images "scellées" (sealed) a été stabilisée, offrant une protection cryptographique de l'intégrité, garantissant que le système en cours d'exécution est identique à celui qui a été initialement déployé et signé.
• Les versions des paquets pour développeurs ont été mises à jour : GCC 16.2, LLVM 22.1.8, Go 1.27.3, Rust 1.97, gdb 17.2, Valgrind 3.27.1, valkey 8.1, Node.js 26.
• Les paquets serveur ont été mis à jour : iproute 7.0.0, netfilter 7.2, libreswan 5.4, libcap-ng 0.9.3 (avec un nouvel utilitaire cap-audit), Grafana 12.4.3, firewalld 2.4.2, Podman 6.0.
• Les paquets système ont été mis à jour : Binutils 2.46, audit 4.2.1, bootc 1.16.4, ostree 2026.3, opencryptoki 3.27.0, sequoia-sqv 1.5.0,
  SELinux 3.11, SystemTap 5.5, fwupd 2.1.6.
• Nouveaux pilotes ajoutés :
  • stmmac — STMicroelectronics Multi-Gigabit Ethernet
  • dwmac-starfive — StarFive DWMAC Ethernet
  • smbdirect — CIFS SMB Direct (RDMA)
  • dibs (Data Integrity Block Store)
  • spi-nor — flash SPI NOR
  • spi-cadence-quadspi — Cadence Quad SPI
  • spi-fsl-quadspi — Freescale QuadSPI
  • mmc-dw-starfive — StarFive MMC/SD
  • sdhci-of-k1 — SpaceMit K1 SDHCI
  • at24 — AT24 I2C EEPROM
  • amd-isp4 — AMD ISP4 (dispositif d'acquisition vidéo)
  • snd-sof-novalake — Intel NovaLake Sound Open Firmware
  • snd-soc-tas2781-i2c — amplificateur de son TI TAS2781 I2C
  • dwc3 — Synopsys DesignWare USB3 DRD
  • cdns3 — Cadence USB3
  • xhci-plat-hcd — Generic xHCI
  • gpio-dwapb — Synopsys DesignWare APB GPIO
  • gpio-novalake — Intel Nova Lake GPIO ACPI
  • gpio-spacemit-k1 — SpaceMit K1 GPIO
  • spd5118 — capteur de température SPD5118
  • spacemit — SoC SpaceMit
  • starfive — SoC StarFive
  • eswin — SoC Eswin
  • mediatek — SoC MediaTek
  • arm64-mpam — ARM64 MPAM (Partitionnement et Surveillance de Mémoire)
  • riscv-iommu — RISC-V IOMMU
  • resctrl — pseudo-système de fichiers pour la gestion des ressources
  • nvidia-tegra410-c2c-pmu — NVIDIA Tegra410 C2C PMU
  • nvidia-tegra410-cmem-latency-pmu — NVIDIA Tegra410 PMU
  • rpmsg_virtio — pilote virtio pour RPM (Remote Processor Messaging)
  • ti-k3-dsp-remoteproc — TI K3 DSP
  • hid-haptic — pavé tactile haptique HID
  • starfive-wdt — StarFive watchdog

Source : opennet.ru