Rilascio della distribuzione Red Hat Enterprise Linux 8.9

Dopo il rilascio di Red Hat Enterprise Linux 9.3, è stato pubblicato un aggiornamento per la precedente versione di Red Hat Enterprise Linux 8.9, che è mantenuta parallelamente alla linea RHEL 9.x e sarà supportata almeno fino al 2029. Le versioni di installazione sono preparate per le architetture x86_64, s390x (IBM System z), ppc64le e Aarch64, ma sono disponibili per il download solo per gli utenti registrati del Red Hat Customer Portal (è possibile utilizzare anche le immagini iso di CentOS Stream 9 e le versioni gratuite di RHEL per sviluppatori).

Come nel caso della branch RHEL 9, i codici sorgente dei pacchetti rpm di RHEL 8 non sono più disponibili pubblicamente tramite il repository Git di CentOS, ma rimangono accessibili ai clienti dell'azienda attraverso una sezione riservata del sito, dove è in vigore un accordo di licenza utente (EULA) che vieta la ridistribuzione dei dati. I codici sorgente possono essere trovati nel repository di CentOS Stream, ma non sono completamente sincronizzati con RHEL e in esso le versioni più recenti dei pacchetti potrebbero non corrispondere sempre a quelle di RHEL. Rocky Linux, Oracle e SUSE hanno unito le forze per riprodurre i codici sorgente dei pacchetti rpm delle release RHEL all'interno del progetto OpenELA. AlmaLinux ha iniziato a utilizzare il repository di CentOS Stream e ammette lievi differenze di comportamento (che possono variare a livello di singoli patch), ma mantiene la compatibilità binaria a livello ABI.

La preparazione delle nuove versioni di Red Hat Enterprise Linux 8.x avviene secondo un ciclo di sviluppo che prevede il rilascio ogni sei mesi in momenti predefiniti. Fino al 2024, il ramo 8.x sarà in fase di supporto completo, il che implica l'inclusione di miglioramenti funzionali, dopodiché passerà alla fase di manutenzione, in cui le priorità si sposteranno verso la correzione di bug e la sicurezza, con l'introduzione di miglioramenti minori legati al supporto di sistemi hardware importanti.

Principali modifiche:

• Sono incluse nuove versioni di compilatori e strumenti per sviluppatori: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, Node.js 20, Valgrind 3.21, SystemTap 4.9, elfutils 0.189, java-21-openjdk (continuano a essere forniti anche java-17-openjdk, java-11-openjdk e java-1.8.0-openjdk).
• Aggiornati i pacchetti server e di sistema: samba 4.18.4, 389-ds-base 1.4.3.35, OpenSCAP 1.3.8, Grafana 9.2.10, opencryptoki 3.21.0, iproute 6.2.0, libnftnl 1.2.2, makedumpfile 1.7.2, Podman 4.6.
• Nelle immagini AMI per ambienti cloud AWS EC2 è stato aggiunto il supporto per l'avvio in modalità UEFI.
• Nelle versioni di installazione è stato aggiunto il parametro «inst.wait_for_disks», che imposta il tempo di attesa per il caricamento del file kickstart o per la prontezza dei driver durante il processo di avvio.
• Nei file kickstart sono state aggiunte nuove opzioni «—ipv4-dns-search» e «—ipv6-dns-search» per impostare la base domini per la direttiva «search» in /etc/resolv.conf, così come le opzioni «—ipv4-ignore-auto-dns» e «—ipv6-ignore-auto-dns» per ignorare l'acquisizione delle impostazioni DNS tramite DHCP.
• Nella servizio fapolicyd è stata aggiunta la trasmissione dei numeri delle regole per le richieste API fanotify rifiutate, per semplificare il debug dei problemi.
• I profili di sicurezza ANSSI-BP-028 (Agenzia Nazionale Francese per la Sicurezza dei Sistemi Informativi) sono stati aggiornati alla versione 2.0.
• Nella strumentazione di auditing è stata aggiunta la supporto per gli eventi FANOTIFY ed è stato implementato il salvataggio nei log dei campi fan_type (tipo di evento), fan_info (informazioni correlate), sub_trust e obj_trust (livelli di fiducia per il soggetto e l'oggetto dell'evento).
• In Postfix è stata implementata la possibilità di controllare i record DNS SRV per determinare l'host e la porta della posta server, che saranno utilizzati per la trasmissione dei messaggi. Questa funzionalità proposta può essere utilizzata in infrastrutture in cui per la consegna dei messaggi di posta vengono utilizzati servizi con numeri di porta di rete assegnati dinamicamente.
• Nel server FTP vsftpd è stata implementata la possibilità di utilizzare il protocollo TLS 1.3.
• Nel pacchetto cups-filters è stato aggiunto un driver LF-to-CRLF, che può essere utilizzato per convertire i caratteri «\n» (salto di riga) in «\r\n» (carriage return e salto di riga) per stampanti che supportano solo file con terminazione «\r\n».
• Rafforzata la sicurezza delle impostazioni predefinite del servizio nftables. È stata aggiunta una nuova catena do_masquerade al set di regole /etc/sysconfig/nftables/nat.nft, che verifica il livello di randomizzazione dei numeri di porta di origine per ridurre il rischio di attacchi Port Shadows (CVE-2021-3773).
• In NetworkManager è stata aggiunta la supporto per l'opzione «no-aaaa» in resolv.conf, che disabilita l'invio di richieste DNS per record AAAA (risoluzione degli indirizzi IPv6 per nome host). Nella utility nm-cloud-setup è stata aggiunta la supporto per la configurazione di AWS Red Hat Enterprise Linux EC2 utilizzando token IMDSv2 (Instance Metadata Service Version 2).
• Per proteggere contro gli attacchi Spectre v2 legati all'esecuzione speculativa delle istruzioni, è stata aggiunta la modalità AutoIBRS (Automatic Indirect Branch Restricted Speculation), supportata nelle CPU AMD a partire dalla famiglia EPYC 9004 Genoa.
• Dal kernel Linux 6.2 è stato trasferito il driver Intel QAT con supporto per dispositivi Intel Quick Assist Technology 401xx/402xx.
• È stata aggiunta la possibilità di specificare UUID durante la creazione del filesystem GFS2 (nella utility mkfs.gfs2 è stato aggiunto il comando «-U»).
• In FUSE3 è stata aggiunta la possibilità di annullare un elemento del catalogo senza il rimontaggio automatico dei punti di montaggio collegati a tale elemento.
• Ampliate le funzionalità per cluster e sistemi di alta disponibilità: gli agenti risorsa del cluster IPaddr2 e IPsrcaddr hanno ora supporto per il policy routing. Nell'agente ocf:heartbeat:Filesystem è stata aggiunta la supporto per il file system EFS (Amazon Elastic File System). Nell'agente alert_snmp.sh.sample è stata aggiunta la supporto per il protocollo SNMPv3.
• In Glibc sono state apportate modifiche con ottimizzazioni per migliorare le prestazioni su sistemi con CPU Intel Xeon v5.
• È garantito il supporto completo per le schede video discrete Intel Arc A-Series (Alchemist o DG2).
• È stato aggiunto un ruolo di sistema per la gestione delle unità systemd e la loro installazione. È stato aggiunto un ruolo di sistema per l'installazione, la configurazione, la gestione e l'avvio del database PostgreSQL. È stato aggiunto un ruolo di sistema per l'insieme di strumenti keylime, che semplifica la configurazione del registratore e del verificatore Keylime, utilizzato per la conferma dell'autenticità e il monitoraggio continuo dell'integrità di un sistema esterno. Nel ruolo di sistema firewall è stata aggiunta la supporto per la definizione, modifica e rimozione di ipset. Sono stati ampliati i ruoli di sistema per Podman, Kdump, Storage e Microsoft SQL Server.
• In cloud-init è stato aggiunto il supporto per i file con le chiavi utilizzate in NetworkManager.
• In Podman è stata aggiunta la supporto per i container compressi utilizzando l'algoritmo zstd. È stata introdotta la possibilità di utilizzare i Quadlets per la generazione automatica dei servizi systemd a partire dalle descrizioni dei container. È stata aggiunta una shell podmansh, che può essere utilizzata al posto di /usr/bin/bash per avviare una sessione utente nel container. Aggiornate le versioni di Podman, Buildah, Skopeo, crun e runc.
• Aggiunti nuovi parametri della riga di comando del kernel: gather_data_sampling per gestire la modalità di protezione contro gli attacchi GDS (Gather Data Sampling o Downfall) e rdrand per nascondere il supporto per l'istruzione RDRAND.
• Ampliato il supporto per l'hardware. Aggiunti driver per dispositivi di rete Thunderbolt/USB4 (thunderbolt_net) e adattatori wireless Broadcom 802.11 (brcmfmac) forniti per sistemi ARM64. Aggiunti driver per dispositivi Bluetooth MediaTek, Microsoft Azure Network Adapter IB (mana_ib), driver Linux USB Video Class (uvc), AMD SoundWire (soundwire-amd), DisplayPort Alternate Mode (typec_displayport), Virtio-mem (virtio_mem). Migliorato il supporto per i processori Intel basati sull'architettura Meteor Lake.
• Il supporto clienti per i componenti di verifica crittografica sigstore è stato stabilizzato: Rekor (un registro per la memorizzazione di metadati firmati digitalmente) e Fulcio (sistema di autorità di certificazione (root CA) che emette certificati a breve termine).
• Continuato il supporto sperimentale (Technology Preview) per AF_XDP, XDP hardware offloading, Multipath TCP (MPTCP), MPLS (Multi-protocol Label Switching), DSA (data streaming accelerator), dracut, kexec fast reboot, nispor, DAX su ext4 e xfs, systemd-resolved, accel-config, igc, OverlayFS, Stratis, Software Guard Extensions (SGX), NVMe/TCP, DNSSEC, GNOME su sistemi ARM64 e IBM Z, AMD SEV per KVM, Intel vGPU, Toolbox.

Fonte: opennet.ru