Wydanie Red Hat Enterprise Linux 10.3 i 9.9

Firma Red Hat zaprezentowała wydanie dystrybucji Red Hat Enterprise Linux 10.3, a także aktualizację poprzedniej wersji — Red Hat Enterprise Linux 9.9. Gotowe obrazy instalacyjne są dostępne dla zarejestrowanych użytkowników Red Hat Customer Portal (do oceny funkcjonalności można użyć ogólnodostępnych obrazów ISO CentOS Stream 10 oraz bezpłatnych wersji RHEL dla programistów). Wydanie jest dostępne dla architektur x86_64, s390x (IBM System z), ppc64le (POWER9), Aarch64 (ARM64) i RISC-V (preview). Wersja RHEL 10 będzie wspierana do 2035 roku (+ 4 lata rozszerzonego płatnego wsparcia), RHEL 9 — do końca maja 2032 roku, a RHEL 8 — do 2029 roku.

Pakiety RHEL nie są umieszczane w publicznym repozytorium git.centos.org i są udostępniane klientom firmy tylko przez zamkniętą sekcję strony, na której obowiązuje umowa licencyjna (EULA) zabraniająca redystrybucji danych pobranych przez portal klienta, co stwarza ryzyko prawne przy używaniu tych pakietów do tworzenia pochodnych dystrybucji. Źródła RHEL pozostają dostępne w repozytorium CentOS Stream, ale nie jest ono w pełni zsynchronizowane z RHEL, a wersje pakietów w nim nie zawsze pokrywają się z pakietami z RHEL. Rocky Linux, Oracle i SUSE reprodukują źródła pakietów RPM wersji RHEL w ramach projektu OpenELA.

Główne zmiany w RHEL 10.3 (większość z wymienionych zmian występuje także w RHEL 9.9):

• Rozszerzono wsparcie dla algorytmów kryptograficznych postkwantowych. W SSH dodano wsparcie dla algorytmów mlkem768nistp256-sha256 oraz mlkem1024nistp384-sha384. W libreswan, w implementacji protokołów IPsec i IKE (Internet Key Exchange) dodano wsparcie dla postkwantowych algorytmów wymiany kluczy ML-KEM-768 i ML-KEM-1024. W pakiecie rust-sequoia-sqv, implementującym narzędzie gpgv w języku Rust, dodano pełne wsparcie dla postkwantowych algorytmów kryptograficznych określonych w nowej specyfikacji OpenPGP. W pakiecie audit dodano wsparcie dla postkwantowych algorytmów w TLS 1.3 oraz używania uwierzytelnienia PSK przy przesyłaniu logów na zewnętrzne hosty. W OpenSC dodano wsparcie dla specyfikacji PKCS #11 v3.2 oraz postkwantowego szyfrowania.
• Podsystemy eBPF i Perf zsynchronizowane z jądrem Linux 6.19.
• W budowach jądra dla CentOS Stream w podsystemie RV (Runtime Verification), przeznaczonym do sprawdzania poprawności działania wysoko niezawodnych systemów, włączono komponenty monitorowania «sched» do analizy zachowania planisty zadań oraz «rtapp» (Real-time application monitor) do śledzenia typowych problemów w aplikacjach działających w czasie rzeczywistym.
• W narzędziu rtla, stosowanym do analizy działania trybu rzeczywistego w jądrze, dodano wsparcie dla podłączania własnych handlerów eBPF do wykonywania działań po przekroczeniu określonych progów, a także rozszerzono możliwości analizy stosu wywołań EFI dzięki narzędziu timerlat.
• W mechanizmie IMA (Integrity Measurement Architecture), stosowanym do weryfikacji integralności komponentów systemu operacyjnego na podstawie podpisów cyfrowych i haseł, zaostrzono kontrole w niektórych systemach plików, które wcześniej były ignorowane (na przykład tmpfs i ramfs).
• W module jądra tboot (Trusted Boot) rozszerzona została obsługa technologii Intel TXT (Trusted Execution Technology).
• Poprawiono obsługę rozszerzenia Intel RDT (Intel Resource Director Technology), umożliwiającego monitorowanie i ograniczanie użycia określonych zasobów procesora.
• Dodano eksperymentalny sterownik amdxdna dla chipów NPU (Neural Processing Unit) firmy AMD.
• Zapewniono możliwość korzystania z narzędzia konsolowego image-builder do budowania obrazów systemowych z określonymi parametrami i ustawieniami. Narzędzie bootc-image-builder zostało uznane za przestarzałe, ale będzie wspierane w ramach cyklu RHEL 10. Do konsoli internetowej dodano wsparcie dla budowy obrazów kompatybilnych z bootc, z dowolnych podstawowych obrazów dostępnych w bieżącym systemie, w tym obrazów w Fedora, CentOS Stream i dowolnych kontenerów. Nazwy typów obrazów systemowych zostały zsynchronizowane pomiędzy narzędziem konsolowym a interfejsem internetowym (na przykład, aws dla Amazon Machine Image (AMI) i guest-image dla QCOW2). Dodano wsparcie dla tworzenia własnych kompilacji dla dystrybucji Hummingbird (edycja Fedora oparta na kontenerach).
• W edycji RHEL for Edge wdrożono możliwość rozwoju systemów edge za pomocą FIDO Device Onboard (FDO). Implementacja FDO w języku Rust (fdo-rs, fido-device-onboard) została zastąpiona wersją go-fdo napisaną w języku Go, a opracowane w bash narzędzie greenboot zostało zastąpione implementacją w języku Rust (greenboot-rs). Podczas aktualizacji zapewniono automatyczne przekształcenie obrazów z bootc na użycie greenboot-rs. Greenboot jest stosowany w atomowo aktualizowanych wersjach RHEL do sprawdzania stanu systemu podczas uruchamiania oraz do przywracania poprzedniej wersji w przypadku wykrycia problemów.
• W frameworku fapolicyd (File Access Policy Daemon), który określa, jakie programy mogą być uruchamiane przez określonego użytkownika, a jakie nie, wdrożono wielowątkowe równoległe przetwarzanie operacji, dynamiczną zmianę rozmiaru bazy danych oraz integrację z usługą watchdog systemd.
• Dodano nowe role systemowe (System Roles): auditd do automatyzacji zarządzania procesem audytu systemowego; trustee_server i trustee_client do automatyzacji wdrażania komponentów serwerowych i klienckich poufnych maszyn wirtualnych z sprzętowym szyfrowaniem pamięci (CVM, Confidential Virtual Machine).
• W SELinux w tryb 'enforcing' wprowadzono reguły powerprofiles_t,
  qgs_t,
  redfish_finder_t,
  sshd_auth_t,
  sshd_session_t,
  systemd_mountfsd_t oraz
  systemd_oomd_t. Pod ochronę SELinux wprowadzono usługę go-fdo-server.
• W dnf-automatic zaimplementowano blokadę ponownego uruchamiania podczas automatycznej instalacji aktualizacji pakietów.
• Do narzędzia rpmdb dodano flagę „—parkdb” w celu optymalizacji bazy danych RPM podczas pracy na nośnikach dostępnych tylko w trybie do odczytu.
• W skład wchodzą pakiety z modułami mod_security (firewall do ochrony aplikacji webowych) i mod_security_crs (Zestaw Reguł OWASP Core) dla Apache httpd.
• W menedżerze kompozytów GNOME Kiosk, zaprojektowanym do tworzenia kiosków internetowych, rozszerzono funkcje dla osób z ograniczeniami. Dodano specjalny duży panel, możliwość powiększania obszarów na ekranie i opcję wyłączenia animacji.
• W GNOME w ustawieniach wyświetlania wprowadzono opcję zarządzania automatycznym obracaniem ekranu w zależności od wskazania akcelerometru.
• W systemach z chipami AMD wprowadzono wsparcie dla kamer z interfejsem MIPI (Mobile Industry Processor Interface).
• Zwiększono wydajność sterownika virtio-fs dla systemów gościnnych z Windows.
• Do narzędzia Podman dodano możliwość przypisania wielu statycznych adresów IP do jednego interfejsu sieciowego podczas tworzenia kontenera.
• W NetworkManager dodano wsparcie dla tuneli GENEVE oraz mechanizmu CLAT (Translator po stronie klienta, 464XLAT) w celu zapewnienia działania aplikacji obsługujących tylko IPv4 na hoście z IPv6. Zrealizowano możliwość zastosowania API Nmstate do konfigurowania tuneli IPv4 over IPv4 (IPIP),
  IPv4 over IPv6 (IPIP6),
  IPv6 over IPv6 (IP6IP6) i
  Prosty Internet Transition (SIT).
• W Stratis, narzędziu do zarządzania logicznymi podziałami, wprowadzono możliwość konwersji nieszyfrowanych pul podziałów na szyfrowane.
• Dodano eksperymentalne (Technology Preview) wsparcie dla podsystemu asynchronicznego wejścia/wyjścia io_uring (domyślnie wyłączone, włączane przez /proc/sys/kernel/io_uring_disabled).
• Dodano eksperymentalne pakiety crypto-auditing-agent i crypto-auditing-log-parser do śledzenia i audytu operacji kryptograficznych wykonywanych przez biblioteki w przestrzeni użytkownika (analizowane za pomocą eBPF i USDT-checks).
• Dodano eksperymentalną możliwość przekazywania kart smart na zdalny pulpit GNOME (GNOME Remote Desktop) przy użyciu protokołu RDP.
• W menedżerze wyświetlania GDM (GNOME Display Manager) dodano wsparcie dla bezhasłowych metod uwierzytelniania, na przykład przez uwierzytelnianie biometryczne i technologie passkey.
• Podczas łączenia z sieciami bezprzewodowymi wsparcie dla protokołu WEP (Wired Equivalent Privacy) zostało wycofane.
• Serwer MCP został uznany za gotowy do użycia, co umożliwia łączenie agentów AI i zapewnianie im dostępu do danych systemowych w celu diagnozowania problemów.
• Zaproponowano eksperymentalnego asystenta AI, który dostarcza kontekstowe wskazówki i wyjaśnienia w wierszu poleceń. W pracy można używać zarówno lokalnie uruchamianej modelu AI, jak i zewnętrznej usługi.
• Stabilizowano implementację "zapieczętowanych" (sealed) obrazów, zapewniającą kryptograficzną ochronę integralności, która gwarantuje, że uruchomiony system bit po bicie odpowiada temu, co zostało pierwotnie wdrożone i podpisane.
• Zaktualizowane wersje pakietów dla deweloperów: GCC 16.2, LLVM 22.1.8, Go 1.27.3, Rust 1.97, gdb 17.2, Valgrind 3.27.1, valkey 8.1, Node.js 26.
• Zaktualizowane pakiety serwerowe: iproute 7.0.0, netfilter 7.2, libreswan 5.4, libcap-ng 0.9.3 (z nowym narzędziem cap-audit), Grafana 12.4.3, firewalld 2.4.2, Podman 6.0.
• Zaktualizowane pakiety systemowe: Binutils 2.46, audit 4.2.1, bootc 1.16.4, ostree 2026.3, opencryptoki 3.27.0, sequoia-sqv 1.5.0,
  SELinux 3.11, SystemTap 5.5, fwupd 2.1.6.
• Dodano nowe sterowniki:
  • stmmac — STMicroelectronics Multi-Gigabit Ethernet
  • dwmac-starfive — StarFive DWMAC Ethernet
  • smbdirect — CIFS SMB Direct (RDMA)
  • dibs (Data Integrity Block Store)
  • spi-nor — SPI NOR flash
  • spi-cadence-quadspi — Cadence Quad SPI
  • spi-fsl-quadspi — Freescale QuadSPI
  • mmc-dw-starfive — StarFive MMC/SD
  • sdhci-of-k1 — SpaceMit K1 SDHCI
  • at24 — AT24 I2C EEPROM
  • amd-isp4 — AMD ISP4 (urządzenie do przechwytywania wideo)
  • snd-sof-novalake — Intel NovaLake Sound Open Firmware
  • snd-soc-tas2781-i2c — wzmacniacz dźwięku TI TAS2781 I2C
  • dwc3 — Synopsys DesignWare USB3 DRD
  • cdns3 — Cadence USB3
  • xhci-plat-hcd — Generic xHCI
  • gpio-dwapb — Synopsys DesignWare APB GPIO
  • gpio-novalake — Intel Nova Lake GPIO ACPI
  • gpio-spacemit-k1 — SpaceMit K1 GPIO
  • spd5118 — czujnik temperatury SPD5118
  • spacemit — SoC SpaceMit
  • starfive — SoC StarFive
  • eswin — SoC Eswin
  • mediatek — SoC MediaTek
  • arm64-mpam — ARM64 MPAM (Podział i Monitorowanie Pamięci)
  • riscv-iommu — RISC-V IOMMU
  • resctrl — pseudoodwór FS do zarządzania zasobami
  • nvidia-tegra410-c2c-pmu — NVIDIA Tegra410 C2C PMU
  • nvidia-tegra410-cmem-latency-pmu — NVIDIA Tegra410 PMU
  • rpmsg_virtio — virtio-sterownik dla RPM (Remote Processor Messaging)
  • ti-k3-dsp-remoteproc — TI K3 DSP
  • hid-haptic — HID haptyczny touchpad
  • starfive-wdt — StarFive watchdog

Źródło: opennet.ru