Rilascio del sistema Red Hat Enterprise Linux 9.3

La compagnia Red Hat ha pubblicato la release della distribuzione Red Hat Enterprise Linux 9.3 (la nuova versione è stata annunciata la scorsa settimana, ma le note di rilascio sono state pubblicate solo ieri, mentre prima sul sito era presente solo un segno di versione beta). L'aggiornamento della versione precedente RHEL 8.9 è previsto per il 15 novembre. Le immagini di installazione pronte sono disponibili per gli utenti registrati del Red Hat Customer Portal (per valutare le funzionalità è possibile utilizzare anche le immagini iso di CentOS Stream 9 e le versioni gratuite di RHEL per sviluppatori). Il rilascio è stato creato per le architetture x86_64, s390x (IBM System z), ppc64le e Aarch64 (ARM64).

La branch RHEL 9 si sviluppa con un processo di sviluppo più aperto e utilizza come base il pacchetto di CentOS Stream 9. CentOS Stream è posizionato come progetto upstream per RHEL, consentendo a terzi di controllare la preparazione dei pacchetti per RHEL, proporre le proprie modifiche e influenzare le decisioni adottate. In conformità con il ciclo di supporto di 10 anni, RHEL 9 sarà supportato fino al 2032.

RHEL 9.3 è stato il primo rilascio i cui codici sorgente dei pacchetti rpm non sono stati pubblicati nel repository pubblico git.centos.org e vengono forniti ai clienti dell'azienda solo attraverso una sezione riservata del sito, che è soggetta a un contratto di licenza per l'utente finale (EULA), che vieta la ridistribuzione di tali dati, rendendo impossibile l'utilizzo di questi pacchetti per creare distribuzioni derivate. I codici sorgente rimangono disponibili nel repository di CentOS Stream, ma non sono completamente sincronizzati con RHEL e le versioni più recenti dei pacchetti non coincidono sempre con quelle di RHEL. Rocky Linux, Oracle e SUSE hanno unito le forze e ora riproducono i codici sorgente dei pacchetti rpm delle versioni RHEL nell'ambito del progetto OpenELA.

Modifiche principali in RHEL 9.3:

• Sono inclusi nuovi versioni di compilatori e strumenti per sviluppatori: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, GCC 11.4.1 (compilatore di sistema), Redis 7, Node.js 20, java-21-openjdk (continuano a essere disponibili java-17-openjdk, java-11-openjdk e java-1.8.0-openjdk), Valgrind 3.21, SystemTap 4.9, elfutils 0.189, PCP 6.0.5, Grafana 9.2.10.
• Sono stati aggiornati i pacchetti server e di sistema: samba 4.18.6, iproute 6.2.0, Apache httpd 2.4.57 (+ aggiunto il modulo mod_authnz_fcgi), SEtools 4.4.3, OpenSCAP 1.3.8, opencryptoki 3.21.0, NetworkManager 1.44, xdp-tools 1.4.0, perf 6.2, dmpd 1.0.2, nvme-cli 2.4, Pacemaker 2.1.6, 389-ds-base 2.3.4.
• Nel gestore di pacchetti DNF è stato aggiunto il comando «reboot» per il riavvio automatico al termine dell'aggiornamento. Sono disponibili le seguenti modalità: «never» (predefinito) — senza riavvio, «when-changed» — riavvio dopo qualsiasi aggiornamento (dnf upgrade) e «when-needed» — riavvio solo se richiesto dai cambiamenti installati (ad esempio, dopo l'installazione di un aggiornamento del kernel o di systemd). Per spegnere invece di riavviare, è disponibile l'opzione «—poweroff».
• Sono stati aggiunti nuovi plugin a DNF: «dnf leaves» per mostrare tutti i pacchetti installati che non sono dipendenze per altri pacchetti; «show-leaves» per mostrare pacchetti simili recentemente installati o pacchetti che hanno smesso di essere utilizzati come dipendenze dopo la transazione.
• Dalla nuova versione del kernel Linux sono state trasferite le implementazioni dei protocolli SCTP (Stream Control Transmission Protocol) e MPTCP (Multipath TCP).
• Sulla piattaforma ARM64 è implementato un supporto completo per le fotocamere con interfaccia USB, adattatori wireless (Wi-Fi) e Bluetooth.
• È garantito il supporto completo per le schede video discrete Intel Arc A-Series (Alchemist o DG2).
• L'implementazione del sottosistema eBPF è sincronizzata con il kernel Linux 6.3.
• È stato aggiunto lo strumento Stratis per la gestione degli archivi locali, offrendo funzionalità come l'allocazione dinamica dello spazio di archiviazione, snapshot, gestione dell'integrità e creazione di livelli per la caching.
• In systemd-udevd sono state apportate modifiche per assegnare nomi statici alle interfacce di rete InfiniBand.
• In Postfix è stata implementata la possibilità di controllare i record DNS SRV per determinare l'host e la porta del server di posta che sarà utilizzato per la trasmissione dei messaggi. Questa funzionalità proposta può essere utilizzata nelle infrastrutture in cui viene impiegato servizi con numeri di porta di rete allocati dinamicamente per la consegna dei messaggi di posta.
• Nel pacchetto cups-filters è stato aggiunto un driver LF-to-CRLF, che può essere utilizzato per convertire i caratteri «\n» (a capo) in «\r\n» (ritorno a capo e a capo) per stampanti che supportano solo il trattamento di file con fine linea «\r\n».
• In FUSE3 è stata aggiunta la possibilità di annullare un elemento del catalogo senza il rimontaggio automatico dei punti di montaggio collegati a tale elemento.
• In NetworkManager, support has been added for the 'no-aaaa' option in resolv.conf, which disables the sending of DNS requests for AAAA records (IPv6 address resolution by hostname). Support has been added for the 'lacp_active' option to manage the processing of LACPDU (Link Aggregation Control Protocol Data Units) frames. NetworkManager will now restart after the dbus service is restarted. A notification will be displayed if an old configuration format (ifcfg) is used for connection profiles. Properties such as link.tx-queue-length, link.gro-max-size, link.gso-max-segments, and link.gso-max-size are now supported.
• Per lo stesso'interfaccia di rete in NetworkManager è consentito utilizzare sia impostazioni statiche che dinamiche (DHCP), ad esempio, l'utilità nmstate può impostare un indirizzo statico per un'interfaccia su cui è attivato il supporto DHCP. In nmstate è consentito associare le impostazioni all'interfaccia di rete tramite l'indirizzo MAC, anziché tramite il nome dell'interfaccia.
• Supporto hardware ampliato. Aggiunto il supporto per la CPU ARM64 NVIDIA Grace. Il driver Intel QAT è stato trasferito dal kernel Linux 6.2 con supporto per i dispositivi Intel Quick Assist Technology 401xx/402xx.
• Per proteggere contro gli attacchi Spectre v2 legati all'esecuzione speculativa delle istruzioni, è stata aggiunta la modalità AutoIBRS (Automatic Indirect Branch Restricted Speculation), supportata nelle CPU AMD a partire dalla famiglia EPYC 9004 Genoa.
• Per i container è stata fornita la possibilità di utilizzare chip virtuali per la memorizzazione delle chiavi crittografiche (vTPM), implementati su un TPM fisico condiviso (Trusted Platform Module).
• In LVM è stato aggiunto il supporto per le partizioni logiche vmcore per i dump del kernel, generati dal sottosistema kdump.
• An 'inst.wait_for_disks' parameter has been added to the installation builds, specifying the waiting time for the kickstart file to load or for drivers to be ready during the boot process.
• Nell'installer per l'installazione su sistemi ARM è stata fornita la possibilità di scegliere la variante del kernel da installare (ad esempio, con pagine di memoria da 64 Kb). Il pacchetto s390utils-base è stato escluso dalla modalità di installazione minima, lasciando solo s390utils-core.
• Nell'assembler di immagini RHEL è stata aggiunta la possibilità di generare file nel formato OVA per VMware VSphere.
• New options '- ipv4-dns-search' and '-ipv6-dns-search' have been added to the network command in kickstart files to set base domains for the 'search' directive in /etc/resolv.conf, as well as options '-ipv4-ignore-auto-dns' and '-ipv6-ignore-auto-dns' to ignore obtaining DNS settings via DHCP.
• Migliorato il supporto per l'estensione TLS EMS (Extended Master Secret, RFC 7627), necessaria per garantire il rispetto dei requisiti FIPS-140-3 nelle connessioni basate su TLS 1.2.
• In OpenSSH è iniziato il processo per eliminare l'uso di algoritmi basati su hash SHA-1 a favore di SHA-2. Se su server sono assenti chiavi basate su SHA-1, sshd utilizzerà ora solo SHA-2 per la conferma delle chiavi host, il che potrebbe portare a incompatibilità con i client RHEL 8 e versioni precedenti.
• In OpenSSL è stata aggiunta la supporto per la configurazione dei parametri delle curve ellittiche sicure Brainpool e implementata una protezione contro gli attacchi di decrittazione RSA basati sulla misurazione del tempo delle operazioni che utilizzano varianti del metodo Bleichenbacher.
• In RPCSEC GSS Kerberos V5 è stato aggiunto il supporto per i metodi di crittografia camellia128-cts-cmac, camellia256-cts-cmac, aes128-cts-hmac-sha256-128 e aes256-cts-hmac-sha384-192.
• Negli strumenti di auditing è stato aggiunto il supporto per gli eventi FANOTIFY e implementata la registrazione nei log dei campi fan_type (tipo di evento), fan_info (informazioni correlate), sub_trust e obj_trust (livelli di fiducia per il soggetto e l'oggetto dell'evento). Nel servizio fapolicyd, per semplificare il debug dei problemi, è stata aggiunta la trasmissione dei numeri delle regole per le richieste API fanotify rifiutate.
• È stato aggiunto un ruolo di sistema per l'insieme di strumenti keylime, che semplifica la configurazione del registratore e del verificatore Keylime, utilizzati per confermare l'autenticità e il monitoraggio continuo dell'integrità di sistemi esterni. Ad esempio, è possibile verificare l'autenticità di dispositivi Edge e IoT situati in luoghi non controllati dove è possibile l'accesso non autorizzato. È stata coinvolta la nuova versione keylime 7.3.
• È stata aggiunta un ruolo di sistema per la gestione delle unità systemd e la loro installazione. È stato aggiunto un ruolo di sistema per l'installazione, configurazione, gestione e avvio del database PostgreSQL. Il ruolo di sistema firewall ora supporta la definizione, modifica e rimozione degli ipset.
• In SELinux è stata aggiunta l'opzione virt_qemu_ga_run_unconfined, che consente al processo qemu-ga (QEMU Guest Agent) di eseguire comandi, come mount, in modalità non protetta (dominio unconfined_t), originalmente limitati da SELinux. Sono state aggiunte politiche SELinux per proteggere i servizi qat, systemd-pstore, boothd, fdo-manufacturing-server, fdo-rendezvous-server, fdo-client-linuxapp e fdo-owner-onboarding-server.
• È stato aggiunto il supporto per le tecnologie di virtualizzazione di quarta generazione dei processori Intel Xeon Scalable (Sapphire Rapids), consentendo l'utilizzo nel macchine virtuali del modello CPU SapphireRapids e sfruttando le avanzate capacità di virtualizzazione disponibili in questi processori.
• In Podman è stata aggiunta la supporto per i container compressi utilizzando l'algoritmo zstd. È stata introdotta la possibilità di utilizzare i Quadlet per la generazione automatica dei servizi systemd dalle descrizioni dei container. È stata aggiunta la shell podmansh, da utilizzare al posto di /usr/bin/bash per avviare una sessione utente nel container. Sono state aggiornate le versioni di Podman, Buildah, Skopeo, crun e runc.
• Sono stati aggiunti nuovi parametri della riga di comando del kernel:
  • amd_pstate per gestire le modalità di consumo energetico della CPU AMD;
  • arm64.nosve per disabilitare SVE (Scalable Vector Extension);
  • arm64.nosme per disabilitare SME (Scalable Matrix Extension);
  • gather_data_sampling per gestire la modalità di protezione contro gli attacchi GDS (Gather Data Sampling o Downfall);
  • nospectre_bhb per disabilitare la protezione Spectre-BHB;
  • trace_clock per impostare il timer per gli eventi di tracciamento.
• Sono state ampliate le funzionalità per i cluster e i sistemi fault-tolerant: Nel gestore LVM-activate è stata aggiunta la supporto per il failover dei gruppi di partizioni in cui sono assenti partizioni fisiche. Nei gestori delle risorse di cluster IPaddr2 e IPsrcaddr è stata aggiunta la supporto per policy routing. Nel gestore ocf:heartbeat:Filesystem è stata aggiunta la supporto per il file system EFS (Amazon Elastic File System).
• Sono state aggiunte nuove immagini di contenitori con impostazioni FDO (FIDO Device Onboard): fdo-manufacturing-server, fdo-owner-onboarding-server, fdo-rendezvous-server e fdo-serviceinfo-api-server. È stata aggiunta una nuova immagine di contenitore rhel9/squid con il proxy server Squid. Nella versione «RHEL for Edge» è stata implementata la supporto per nuovi tipi di immagini «minimal-raw», «edge-vsphere» (*.vmdk) e «edge-ami» (*.ami).
• Nelle immagini AMI per ambienti cloud AWS EC2 è stato aggiunto il supporto per l'avvio in modalità UEFI.
• Per la gestione di smart card e token USB, sono stati introdotti una nuova versione del driver pcsc-lite-ccid 1.5.2, che risolve problemi con il controller Alcor Micro AU9560 e aggiunge supporto per nuovi lettori di smart card.
• I pacchetti initial-setup e pmdk (Persistent Memory Development Kit) sono stati dichiarati obsoleti.
• È stato aggiunto il supporto sperimentale per i protocolli PRP (Parallel Redundancy Protocol) e HSR (High-availability Seamless Redundancy).
• È stata aggiunta la possibilità sperimentale di accelerare l'IPsec tramite il trasferimento delle operazioni di incapsulamento dei pacchetti sulla scheda di rete.
• È stato aggiunto il supporto sperimentale per SRv6 (Segment Routing over IPv6).
• L'implementazione sperimentale di kTLS (TLS a livello di kernel) è sincronizzata con il ramo 6.3. È stata aggiunta la supporto per l'utilizzo di kTLS per accelerare GnuTLS.
• È stata aggiunta la supporto sperimentale per l'interfaccia di input/output asincrono io_uring, nota per il supporto del polling e la possibilità di funzionare sia con che senza buffering. Nella API io_uring, gli sviluppatori del kernel hanno cercato di risolvere le carenze del vecchio interface aio. In termini di prestazioni, io_uring è molto vicino a SPDK e supera notevolmente libaio quando il polling è attivato.
• In IdM (Identity Management) è stato aggiunto il supporto sperimentale per il protocollo di gestione dei certificati ACME (Automated Certificate Management Environment), utilizzato nel certificatore Let’s Encrypt.
• In Podman è stata aggiunta la possibilità sperimentale di utilizzare un backend di storage basato su SQLite (invece di BoltDB).
• Continua la fornitura del supporto sperimentale (Technology Preview):
• VPN WireGuard,
• Intel SGX (Software Guard Extensions),
• Intel IDXD (Data Streaming Accelerator),
• DAX (Direct Access) per ext4 e XFS,
• AMD SEV e SEV-ES nel hypervisor KVM,
• servizio systemd-resolved,
• meccanismo Sigstore per la verifica dei container attraverso firme digitali,
• pacchetto con l'editor grafico GIMP 2.99.8,
• impostazioni MPTCP (Multipath TCP) tramite NetworkManager,
• DNSSEC in IdM,
• virtio-mem,
• hypervisor KVM per ARM64,
• installazioni su NVMe sopra Fibre Channel,
• Socket API per TuneD,
• Soft-iWARP (Internet Wide-area RDMA Protocol),
• GNOME per ARM64 e IBM Z.

Fonte: opennet.ru