Publication de Red Hat Enterprise Linux 7.7

Entreprise Red Hat une mise à jour du micrologiciel et un SDK pour l'environnement SGX, dans lequel elle a tenté de bloquer l'attaque par contournement. Les méthodes proposées d'attaque ne sont actuellement applicables qu'aux processeurs Intel, mais il n'est pas exclu que LVI soit adapté à d'autres processeurs susceptibles d'être sujets aux attaques de type Meltdown. distribution Red Hat Enterprise Linux 7.7. Images d'installation RHEL 7.7 sont disponibles pour le téléchargement uniquement par les utilisateurs enregistrés du Red Hat Customer Portal et préparées pour les architectures x86_64, IBM POWER7+, POWER8 (big endian et little endian) et IBM System z. Les sources des paquets peuvent être téléchargées depuis le dépôt Git du projet CentOS.

La branche RHEL 7.x est maintenue parallèlement à la branche RHEL 8.x et sera supporté jusqu'en juin 2024. La sortie de RHEL 7.7 est la dernière dans le cadre de la phase de support complet principal, impliquant l'inclusion d'améliorations fonctionnelles. RHEL 7.8 passera à une phase de maintenance, où les priorités se concentreront sur la correction des bogues et la sécurité, avec de légères améliorations liées au support de systèmes matériels critiques.

Principales nouveautés:

• Un support complet de l'application du mécanisme de Live Patching (kpatch) pour remédier aux vulnérabilités dans le noyau Linux sans redémarrer le système et sans arrêter le fonctionnement. Auparavant, kpatch était considéré comme une fonctionnalité expérimentale;
• Des paquets python3 avec l'interpréteur Python 3.6 ont été ajoutés. Auparavant, Python 3 n'était inclus qu'avec Red Hat Software Collections. Par défaut, Python 2.7 est toujours proposé (la transition vers Python 3 a eu lieu dans RHEL 8);
• Le gestionnaire de fenêtres Mutter a ajouté des préconfigurations d'écran (/etc/xdg/monitors.xml) pour tous les utilisateurs du système (il n'est plus nécessaire de configurer séparément les paramètres d'affichage pour chaque utilisateur;
• Le programme d'installation graphique a intégré des définitions pour l'activation du mode Simultaneous Multithreading (SMT) dans le système et a affiché un avertissement correspondant;
• Un support complet d'Image Builder, le créateur d'images système pour les environnements cloud, y compris Amazon Web Services, Microsoft Azure et Google Cloud Platform, est assuré;
• SSSD (System Security Services Daemon) a mis en œuvre un support complet pour le stockage des règles sudo dans Active Directory;
• Dans le système de certificats, le support de jeux de chiffrement supplémentaires a été ajouté par défaut, y compris TLS_DHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_ECDSA_WITH_AES_256_CBC/GCM_SHA384,
  TLS_ECDHE_RSA_WITH_AES_128_CBC/GCM_SHA256, TLS_ECDHE_RSA_WITH_AES_256_CBC/GCM_SHA384 et TLS_RSA_WITH_AES_256_GCM_SHA384;
• Le paquet samba a été mis à jour vers la version 4.9.1 (la version précédente était 4.8.3). Le serveur de répertoires 389 a été mis à jour vers la version 1.3.9.1;
• Le nombre maximal de nœuds dans un cluster haute disponibilité basé sur RHEL a été augmenté de 16 à 32;
• Un support IMA (Integrity Measurement Architecture) est assuré pour toutes les architectures, permettant la vérification de l'intégrité des fichiers et des métadonnées associées sur la base de hachages préenregistrés, ainsi qu'un module de vérification étendu (EVM) pour protéger les attributs étendus des fichiers (xattrs) contre les attaques visant à compromettre leur intégrité (EVM empêchera les attaques hors ligne où un intrus pourrait modifier les métadonnées, par exemple, en démarrant à partir de son propre périphérique) ;
• Un ensemble d'outils léger a été ajouté pour la gestion des conteneurs isolés, utilisant pour la construction des conteneurs Buildah, pour le lancement — Podman et pour la recherche d'images prêtes — Skopeo;
• Pour les nouvelles installations, un mécanisme Retpoline (« spectre_v2=retpoline ») est désormais appliqué par défaut pour se protéger des attaques Spectre V2, au lieu d'IBRS ;
• Le code source de l'édition du noyau kernel-rt, fonctionnant en temps réel, est synchronisé avec le noyau principal ;
• Le serveur DNS bind a été mis à jour vers la branche 9.11, et ipset vers la version 7.1. Une règle rpz-drop a été ajoutée pour bloquer les attaques utilisant DNS comme amplificateur de trafic ;
• Dans NetworkManager, la possibilité de définir des règles de routage en fonction de l'adresse source (policy routing) et le support du filtrage VLAN sur les interfaces de ponts réseau ont été ajoutés ;
• Un nouveau type boltd_t a été ajouté à SELinux pour le démon boltd, gérant les périphériques avec l'interface Thunderbolt 3. Une nouvelle classe de règles bpf a été ajoutée pour inspecter les applications basées sur le Berkeley Packet Filter (BPF) ;
• Les versions de shadow-utils 4.6, ghostscript 9.25, chrony 3.4, libssh2 1.8.0, tuned 2.11 ont été mises à jour ;
• Le programme xorriso pour créer et manipuler des images ISO 9660 pour CD/DVD a été inclus ;
• Ajout du support des extensions de contrôle de l'intégrité des données (Data Integrity Extensions) qui protègent les données contre leur corruption lors de l'écriture dans le stockage grâce à la sauvegarde de blocs de correction supplémentaires.
• L'outil virt-v2v a ajouté le support de la conversion pour exécuter des machines virtuelles sous KVM avec SUSE Linux Enterprise Server (SLES) et SUSE Linux Enterprise Desktop (SLED), utilisées avec des hyperviseurs différents de KVM. La performance et la fiabilité de la conversion des machines virtuelles VMware ont été améliorées. Le support de la conversion de machines virtuelles utilisant des firmwares UEFI pour l'exécution dans Red Hat Virtualization (RHV) a été ajouté ;
• Le paquet gcc-libraries a été mis à jour vers la version 8.3.1. Le paquet compat-sap-c++-8 a été ajouté avec une version de la bibliothèque runtime libstdc++, compatible avec les applications SAP ;
• La base de données Geolite2 a été incluse, en complément de l'ancienne base de données Geolite, proposée dans le paquet GeoIP ;
• L'outil de traçage SystemTap a été mis à jour vers la branche 4.0, et l'outil de débogage de la mémoire Valgrind vers la version 3.14 ;
• L'éditeur vim a été mis à jour vers la version 7.4.629 ;
• Jusqu'à la version 1.0.35, l'ensemble des filtres pour le système d'impression cups-filters a été mis à jour. Le processus en arrière-plan cups-browsed a été mis à jour vers la version 1.13.4. Un nouveau backend implicitclass a été ajouté.
• Ajoutés nouveaux pilotes réseau et graphiques. Les pilotes existants ont été mis à jour.

Source : opennet.ru