Megjelent az OpenBSD 7.4, a szabad UNIX-szerű operációs rendszer kiadása. Az OpenBSD projektet Theo de Raadt alapította 1995-ben, miután konfliktusba került a NetBSD fejlesztőivel, ami miatt megszűnt a hozzáférése a NetBSD CVS tárolójához. Ezt követően Theo de Raadt és egy lelkes csapata egy új nyílt operációs rendszert hozott létre a NetBSD forrásaiból. Az új rendszer fejlesztésének fő céljai a hordozhatóság (támogat 13 hardverplatformot), a szabványosítás, a megbízhatóság, a proaktív biztonság és az integrált titkosítási eszközök voltak. Az OpenBSD 7.4 alap rendszerének teljes telepítő ISO képe 630 MB méretű.
Az operációs rendszeren kívül az OpenBSD projekt híres az olyan komponentseiről, amelyek más rendszerekben is elterjedtek és a legbiztonságosabb és legjobb minőségű megoldásokként szerepelnek. Ezek között található a LibreSSL (az OpenSSL fork), az OpenSSH, a csomagszűrő PF, az OpenBGPD és OpenOSPFD irányító démonok, az OpenNTPD NTP-szerver, az OpenSMTPD levelezőszerver, a tmux szöveges terminál-multiplexor (az GNU screen analógja), az IDENT protokollt megvalósító identd démon, a GNU groff BSDL-alternatívája — a mandoc, a CARP (Common Address Redundancy Protocol) protokoll a hibatűrő rendszerek szervezésére, valamint egy könnyű http-szerver és az OpenRSYNC fájlszinkronizáló segédprogram.
Fő fejlesztések:
- Az amd64 és i386 architektúrákhoz új alkatrészek kerültek hozzáadásra az AMD processzorok mikrokódjának frissítéséhez. Az új mikrokód verziók automatikusan települnek a rendszerindításkor. A mikrokód bináris fájljainak terjesztésére elkészítették a "ports/sysutils/firmware/amd" portot. Az új mikrokód telepítése a standard fw_update segédprogram segítségével történik. Hasonló mikrokód frissítési támogatást valósítottak meg Intel processzorokhoz 2018-ban, amit az OpenBSD 6.3-as kiadásában kínáltak.
- A kernel és a felhasználói tér számára IBT (Indirect Branch Tracking, amd64) és BTI (Branch Target Identification, arm64) védelmi mechanizmusok kerültek beépítésre, amelyek célja a vezérlési folyamat rendjeinek megzavarásának megakadályozása, amely az emlékezetben tárolt funkciómutatók megváltoztatásával történik (a megvalósított védelem megakadályozza, hogy a rosszindulatú kód a funkció közepére lépjen).
- Arm64 architektúrájú rendszereken, a felhasználói tér védelme érdekében bekapcsolták a Pointer Authentication (mutató-hitelesítés) technológiát. Ez a technológia lehetővé teszi, hogy az ARM64-speciális utasításait használja a visszatérési címek ellenőrzésére digitális aláírások segítségével, amelyeket a mutató nem használt felső bitjeiben tárolnak.
- A clang system compiler settings, as well as clang and gcc from ports, have been modified to implement the aforementioned protection mechanisms, significantly enhancing the protection of all basic applications and most applications from ports against exploits that utilize return-oriented programming methods (ROP — Return-Oriented Programming). When using the ROP technique, an attacker does not attempt to place their code in memory but rather operates on existing pieces of machine instructions in loaded libraries that terminate with a return control instruction (typically the endings of library functions). The exploit's operation boils down to constructing a chain of calls to similar blocks (“gadgets”) to achieve the desired functionality.
- A new system call kqueue1 has been added, which differs from kqueue in that it passes flags. Currently, kqueue1 supports only the O_CLOEXEC (close-on-exec) flag for automatically closing file descriptors in a child process after an exec() call.
- Support for the pseudo-device dt has been implemented for amd64 and i386 architectures to organize dynamic tracing of the system and applications. A system call utrace has been added for inserting user records into the ktrace log.
- Fixes have been merged from FreeBSD to eliminate undefined behavior when using MS-DOS file systems.
- The softdep mounting option, used for deferred grouped writing of metadata, has been disabled.
- Programs protected by the unveil system call are now allowed to save core dumps in the current working directory.
- The capability to enter deep idle states available in Apple M1/M2 chips has been engaged for the ARM64 architecture to save energy and implement a sleep mode.
- A bypass protection against the Zenbleed vulnerability in AMD processors has been added.
- Support for symmetric multiprocessing (SMP) systems has been improved. The arprequest() function, handling incoming ARP packets, and the implementation for neighbor node detection in the IPv6 stack have been freed from locks.
- The synchronization interface of the pfsync packet filter tables has been rewritten for better lock handling and compatibility with future work on parallelizing the network stack.
- A DRM (Direct Rendering Manager) keretrendszer megvalósítása szinkronizálva van a Linux 6.1.55-ös kernellel (az előző kiadás a 6.1.15 volt). Javult a teljesítmény Intel Alder Lake és Raptor Lake mikroarchitektúrával rendelkező rendszerek esetében.
- Javítások történtek a VMM hipervizorban. A vmd-ben megvalósították a multiprocesszoros modell támogatását blokkos és hálózati virtio-eszközökhöz. A blokkos virtio-eszközhöz hozzáadták a zero-copy üzemmódú vektoros bemenet/kimenetet. A vendég rendszerek hozzáférését korlátozták az AMD processzorok p-state üzemmódjaihoz. A tulajdonosok virtuális gépekhez a vmctl segítségével át tudják írni a betöltendő kernelt.
- Új fejlécfájl került hozzáadásra uchar.h néven, az char32_t és char16_t típusokkal, valamint a c32rtomb(), mbrtoc32(), c16rtomb() és mbrtoc16() funkciókkal, melyek a C11 szabványban vannak definiálva.
- A malloc funkcióhoz új 'D' opció került hozzáadásra a memóriaszivárgások észlelésére a ktrace segítségével ('MALLOC_OPTIONS=D ktrace -tu program') és a kdump ('kdump -u malloc …').
- A make eszközhöz hozzáadták a ${.VARIABLES} változó támogatását, amely az összes globálisan beállított változó nevét kiírja.
- A kdump eszközhöz hozzáadták a '-u' opciót az utrace nyomkövetési pontjainak kiválasztásához adott címke alapján.
- Az openrsync eszközbe bevezetésre került a '—size-only' és a '—ignore-times' opció.
- A cron és a crontab eszközökhöz hozzáadták a véletlenszerű eltolások támogatását a megadott tartományok értékeinek lépésközével, ami lehetővé teszi, hogy elkerüljék az erőforráshoz való egyidejű hozzáférést különböző gépekről, amelyeknek azonos cron szabályai vannak. Például a '0~59/30' vagy a '~ / 30' megadása a percek mezőjében azt eredményezi, hogy a parancsot óránként kétszer hajtják végre, egymást követő véletlenszerűen kiválasztott időintervallumokban.
- A wsconsctl eszközhöz hozzáadták a gombok mappálásának lehetőségét két vagy három ujjal való kattintásra a touchpadon.
- Újhardver támogatás került bevezetésre, és új driverek lettek integrálva.
- Javult a telepítés armv7 és arm64 processzoros rendszerekre.
- Bevezetésre került az EFI (EFI System Partition) rendszerpartícióból való fájlok betöltésének támogatása.
- A telepítőben javították a szoftver RAID (softraid) támogatását. Lehetőség nyílt a root partíció softraid-en való elhelyezésére riscv64 és arm64 rendszereken. A Softraid hozzá lett adva a ramdiskhez powerpc64 architektúrára. Arm64 esetén megvalósították a lemezek titkosításának támogatását (Guided Disk Encryption).
- A malloc funkcióban ellenőrzés került bevezetésre az összes késleltetett memóriakiadás listájában szereplő blokk esetében, hogy felfedezzék a memóriaterület felszabadítása utáni írás esetét.
- A leállító parancs végrehajtásához most már a felhasználót hozzá kell adni a „_shutdown” csoporthoz, amely lehetővé teszi a leállítással kapcsolatos jogosultságok elosztását és a lemezről való közvetlen olvasást.
- A rendszerhívás segítségével, az unveil parancs a patch utility-t csak a jelenlegi könyvtárra, a temp fájlokra és a parancssorban felsorolt fájlokra korlátozza.
- Hozzáadva a sysctl net.inet6.icmp6.nd6_queued a ND6-ra váró csomagok számának megjelenítésére (hasonlóan az ARP-hoz).
- IPv6 cím beállításakor a hálózati interfészen a szomszédos routerek számára multicast címre ad át hirdetést.
- Kezdeti támogatás került hozzáadásra a TSO (TCP Segmentation Offload) és az LRO (TCP Large Receive Offload) funkciókhoz a szegmensek kezelésére és a csomagok egyesítésére a hálózati kártya oldalán.
- Gyorsabb lett a pf csomagszűrő kernel-rendszerének betöltése a pfctl utility által. Be lett kapcsolva a „keep state” és a „nat-to” műveletek kezelése az ICMP hibakeresési válaszaiban.
- A loopback interfészeknél letiltva a IP, TCP és UDP ellenőrzőösszeg számítása.
- Bevezetésre került az alapvető támogatás VPN IPsec, amely a routingtól függ (route-based).
- A bgpd-hez hozzáadva a Flowspec támogatása (RFC5575, egyelőre csak a flowspec szabályok hirdetése támogatott). Az ASPA (Autonomous System Provider Authorization) megvalósítása összhangba került a draft-ietf-sidrops-aspa-verification-16 és a draft-ietf-sidrops-aspa-profile-16 specifikációkkal, és átváltott az AFI független kereső táblákra.
- A rpki-client teljesítménye 30-50%-kal nőtt. Hozzáadva a gzip és deflate tömörítés támogatása.
- Frissítve a LibreSSL és OpenSSH csomagok. A fejlesztések részletes áttekintéséért lásd a LibreSSL 3.8.0, OpenSSH 9.4 és OpenSSH 9.5 áttekintéseit.
- Az AMD64 architektúrához tartozó portok száma 11845 (11764 volt), a aarch64-hez 11508 (11561 volt), az i386-hoz 10603 (10572 volt). A portok verziói között:
- Asterisk 16.30.1, 18.19.0, 20.4.0
- Audacity 3.3.3
- CMake 3.27.5
- Chromium 117.0.5938.149
- Emacs 29.1
- FFmpeg 4.4.4
- GCC 8.4.0 és 11.2.0
- GHC 9.2.7
- GNOME 44
- Go 1.21.1
- JDK 8u382, 11.0.20 és 17.0.8
- KDE Applications 23.08.0
- KDE Frameworks 5.110.0
- Krita 5.1.5
- LLVM/Clang 13.0.0 és 16.0.6
- LibreOffice 7.6.2.1
- Lua 5.1.5, 5.2.4, 5.3.6 és 5.4.6
- MariaDB 10.9.6
- Mono 6.12.0.199
- Mozilla Firefox 118.0.1 és ESR 115.3.1
- Mozilla Thunderbird 115.3.1
- Mutt 2.2.12 és NeoMutt 20230517
- Node.js 18.18.0
- OpenLDAP 2.6.6
- PHP 7.4.33, 8.0.30, 8.1.24 és 8.2.11
- Postfix 3.7.3
- PostgreSQL 15.4
- Python 2.7.18, 3.9.18, 3.10.13 és 3.11.5
- Qt 5.15.10 és 6.5.2
- R 4.2.3
- Ruby 3.0.6, 3.1.4 és 3.2.2
- Rust 1.72.1
- SQLite 3.42.0
- Shotcut 23.07.29
- Sudo 1.9.14.2
- Suricata 6.0.12
- Tcl/Tk 8.5.19 és 8.6.13
- TeX Live 2022
- Vim 9.0.1897 és Neovim 0.9.1
- Xfce 4.18
- Frissítve az OpenBSD 7.3-ban található harmadik féltől származó komponensek:
- A Xenocara grafikus stack X.Org 7.7 alapjaira építve xserver 21.1.8 + javításokkal, freetype 2.13.0, fontconfig 2.14.2, Mesa 22.3.7, xterm 378, xkeyboard-config 2.20, fonttosfnt 1.2.2.
- LLVM/Clang 13.0.0 (+ javítások)
- GCC 4.2.1 (+ javítások) és 3.3.6 (+ javítások)
- Perl 5.36.1 (+ javítások)
- NSD 4.7.0
- Unbound 1.18
- Ncurses 5.7
- Binutils 2.17 (+ javítások)
- Gdb 6.3 (+ javítás)
- Awk 12.9.2023
- Expat 2.5.0.
Forrás: opennet.ru
