Na de uitgave van Red Hat Enterprise Linux 9.3 is er een update gepubliceerd voor de vorige tak Red Hat Enterprise Linux 8.9, die parallel aan de RHEL 9.x tak wordt ondersteund en minstens tot 2029 zal worden onderhouden. Installatiebuilds zijn voorbereid voor de architecturen x86_64, s390x (IBM System z), ppc64le en Aarch64, maar zijn alleen beschikbaar voor geregistreerde gebruikers van het Red Hat Customer Portal (de iso-images van CentOS Stream 9 en gratis builds van RHEL voor ontwikkelaars kunnen ook worden gebruikt).
Net als bij de RHEL 9 tak worden de bronteksten van de rpm-pakketten van RHEL 8 nu niet publiekelijk verspreid via de Git-repository van CentOS, maar blijven ze beschikbaar voor klanten via een afgesloten sectie van de website, waar een gebruikersovereenkomst (EULA) van toepassing is die herdistributie verbiedt. De bronteksten zijn te vinden in de CentOS Stream repository, maar deze is niet volledig gesynchroniseerd met RHEL en daarin komen niet altijd de meest recente versies van pakketten overeen met die van RHEL. Rocky Linux, Oracle en SUSE hebben hun krachten gebundeld en reproduceren nu de bronteksten van rpm-pakketten van RHEL-releases in het kader van het OpenELA-project. AlmaLinux is overgestapt op het gebruik van de CentOS Stream repository en staat kleine afwijkingen in gedrag toe (die kunnen variëren op het niveau van individuele patches), maar behoudt binaire compatibiliteit op ABI-niveau.
De voorbereiding van nieuwe uitgaven van Red Hat Enterprise Linux 8.x vindt plaats volgens een ontwikkelcyclus, die de vorming van releases om de zes maanden op een vooraf bepaald tijdstip omvat. Tot 2024 zal de 8.x tak volledig ondersteund worden, wat inhoudt dat functionele verbeteringen worden inbegrepen; daarna zal deze overgaan naar de onderhoudsfase, waarin de prioriteiten verschuiven naar het oplossen van fouten en veiligheidskwesties, met minimale verbeteringen die verband houden met de ondersteuning van belangrijke hardware.
Belangrijkste wijzigingen:
- De nieuwe versies van compilers en ontwikkeltools zijn opgenomen: GCC Toolset 13, LLVM Toolset 16.0.6, Rust Toolset 1.71.1, Go Toolset 1.20.10, Node.js 20, Valgrind 3.21, SystemTap 4.9, elfutils 0.189, java-21-openjdk (java-17-openjdk, java-11-openjdk en java-1.8.0-openjdk blijven ook beschikbaar).
- Server- en systeemproducten zijn geüpdatet: samba 4.18.4, 389-ds-base 1.4.3.35, OpenSCAP 1.3.8, Grafana 9.2.10, opencryptoki 3.21.0, iproute 6.2.0, libnftnl 1.2.2, makedumpfile 1.7.2, Podman 4.6.
- In de AMI-images voor cloudomgevingen AWS EC2 is ondersteuning voor opstarten in UEFI-modus toegevoegd.
- In de installatiepakketten is de parameter «inst.wait_for_disks» toegevoegd, die de tijd specificeert voor het wachten op het opstarten van het kickstart-bestand of de beschikbaarheid van stuurprogramma's tijdens het opstarten.
- In kickstart-bestanden zijn nieuwe opties «—ipv4-dns-search» en «—ipv6-dns-search» toegevoegd aan het netwerkcommando voor het opgeven van basis domeinen voor de directive «search» in /etc/resolv.conf, evenals de opties «—ipv4-ignore-auto-dns» en «—ipv6-ignore-auto-dns» voor het negeren van het ontvangen van DNS-instellingen via DHCP.
- In de dienst fapolicyd is voor een vereenvoudigde foutopsporing van problemen de doorgifte van regelnummer voor geweigerde verzoeken naar de API fanotify toegevoegd.
- De beveiligingsprofielen ANSSI-BP-028 (Franse Nationale Agentschap voor de Veiligheid van Informatie Systemen) zijn bijgewerkt naar versie 2.0.
- In de audittools is ondersteuning voor FANOTIFY-evenementen toegevoegd, en is logging geïmplementeerd voor de velden fan_type (type evenement), fan_info (gerelateerde informatie), sub_trust en obj_trust (niveau's van vertrouwen voor subject en object van het evenement).
- In Postfix is de mogelijkheid geïmplementeerd om DNS SRV-records te controleren voor het identificeren van de host en poort voor e-mail de server, die zal worden gebruikt voor het verzenden van berichten. Deze functie kan worden gebruikt in infrastructuren waarbij e-maillevering gebruik maakt van diensten met dynamisch toegewezen netwerknummers.
- Op de FTP-server vsftpd is de mogelijkheid geïmplementeerd om het protocol TLS 1.3 te gebruiken.
- In de cups-filters pakket is de LF-to-CRLF-driver toegevoegd, die kan worden gebruikt om de karakters «\n» (regelovergang) om te zetten naar «\r\n» (carriagereturn en regelovergang) voor printers die alleen bestanden met «\r\n» als regel beëindiging ondersteunen.
- De standaardinstellingen van de nftables-dienst zijn versterkt. In de regelset /etc/sysconfig/nftables/nat.nft is een nieuwe keten do_masquerade opgenomen, die het niveau van randomisatie van bronpoortnummers controleert om het risico van Port Shadows-aanvallen (CVE-2021-3773) te verlagen.
- In NetworkManager is ondersteuning voor de optie «no-aaaa» in resolv.conf toegevoegd, die het versturen van DNS-verzoeken voor AAAA-records (IPv6 adresbepaling op basis van hostnaam) uitschakelt. In de utility nm-cloud-setup is ondersteuning toegevoegd voor het configureren van AWS Red Hat Enterprise Linux EC2 met behulp van IMDSv2-tokens (Instance Metadata Service Versie 2).
- Ter bescherming tegen Spectre v2-aanvallen die verband houden met speculatieve uitvoering van instructies, is de AutoIBRS-modus (Automatische Indirecte Branch Restricted Speculation) toegevoegd, ondersteund door AMD CPU's vanaf de EPYC 9004 Genoa-familie.
- De Intel QAT-driver met ondersteuning voor Intel Quick Assist Technology 401xx/402xx is overgenomen uit de Linux-kernel 6.2.
- De mogelijkheid om een UUID op te geven bij het aanmaken van een GFS2-systeem (de commandoregel «-U» is toegevoegd aan de mkfs.gfs2 utility).
- In FUSE3 is de mogelijkheid toegevoegd om een catalogusitem te annuleren zonder automatische demontering van de gekoppelde mountpoints.
- De mogelijkheden voor clusters en high-availability-systemen zijn uitgebreid: De cluster resource agents IPaddr2 en IPsrcaddr hebben ondersteuning voor policy routing toegevoegd gekregen. De agent ocf:heartbeat:Filesystem heeft ondersteuning voor EFS (Amazon Elastic File System) toegevoegd. Ondersteuning voor het protocol SNMPv3 is toegevoegd aan de agent alert_snmp.sh.sample.
- In Glibc zijn wijzigingen aangebracht met optimalisaties voor betere prestaties op systemen met Intel Xeon v5 CPU's.
- Volledige ondersteuning voor discrete Intel Arc A-Series (Alchemist of DG2) grafische kaarten is verzekerd.
- Een systeemrol voor het beheren en installeren van systemd-units is toegevoegd. Een systeemrol voor het installeren, configureren, beheren en starten van de PostgreSQL-database is toegevoegd. Een systeemrol voor de keylime-toolset is toegevoegd, waarmee de configuratie van de registrar en verifier van Keylime, gebruikt voor authenticatie en continue integriteitsbewaking van externe systemen, wordt vereenvoudigd. De systeemrol firewall heeft ondersteuning gekregen voor het definiëren, wijzigen en verwijderen van ipsets. Systeemrollen voor Podman, Kdump, Storage en Microsoft SQL Server zijn uitgebreid.
- In cloud-init is ondersteuning toegevoegd voor bestanden met sleutels die worden gebruikt in NetworkManager.
- In Podman is ondersteuning toegevoegd voor containers die zijn gecomprimeerd met het zstd-algoritme. Er is een mogelijkheid toegevoegd om Quadlets te gebruiken voor het automatisch genereren van systemd-diensten vanuit containerbeschrijvingen. Een shell podmansh is toegevoegd die kan worden gebruikt in plaats van /usr/bin/bash om een gebruikerssessie in de container te starten. De versies van Podman, Buildah, Skopeo, crun en runc zijn bijgewerkt.
- Nieuwe kernelcommandoregelparameters zijn toegevoegd: gather_data_sampling voor het beheren van de GDS-aanvalbeschermingsmodus (Gather Data Sampling of Downfall) en rdrand om de ondersteuning voor de RDRAND-instructie te verbergen.
- De hardwareondersteuning is uitgebreid. Er zijn stuurprogramma's toegevoegd voor Thunderbolt/USB4 netwerkapparaten (thunderbolt_net) en draadloze adapters van Broadcom 802.11 (brcmfmac), geleverd voor ARM64-systemen. Stuurprogramma's voor Bluetooth-apparaten, Microsoft Azure Network Adapter IB (mana_ib), Linux USB Video Class-driver (uvc), AMD SoundWire (soundwire-amd), DisplayPort Alternate Mode (typec_displayport), Virtio-mem (virtio_mem) zijn toegevoegd. De ondersteuning voor Intel-processoren op basis van de Meteor Lake-microarchitectuur is verbeterd.
- De klantenondersteuning is gestabiliseerd voor de componenten van cryptografische verificatie sigstore: Rekor (logboek voor opslag van metadata, bevestigd door digitale handtekeningen) en Fulcio (systeem van certificeringsinstanties (root CA) die kortlevende certificaten uitgeeft).
- De experimentele (Technology Preview) ondersteuning voor AF_XDP, XDP-hardware offloading, Multipath TCP (MPTCP), MPLS (Multi-protocol Label Switching), DSA (data streaming accelerator), dracut, kexec fast reboot, nispor, DAX in ext4 en xfs, systemd-resolved, accel-config, igc, OverlayFS, Stratis, Software Guard Extensions (SGX), NVMe/TCP, DNSSEC, GNOME op ARM64- en IBM Z-systemen, AMD SEV voor KVM, Intel vGPU, Toolbox is voortgezet.
Bron: opennet.ru
