Utgivning av paketförvaltaren Pacman 5.2

Tillgänglig utgivningen av paketchefen Pacman 5.2, som används i distributionen Arch Linux. Från ändringar kan nämnas:

• Fullständigt borttagande av stöd för delta-uppdateringar, som tillåter nedladdning av endast ändringar. Möjligheten har tagits bort på grund av en upptäckt sårbarhet (CVE-2019-18183), som möjliggör körning av godtyckliga kommandon i systemet vid användning av osignerade databaser. För en attack behövs att användaren laddar upp förberedda filer från angriparen med databasen och delta-uppdateringen. Stöd för delta-uppdateringar har stängts av som standard och har inte fått någon stor spridning. I framtiden planeras en fullständig omskrivning av implementeringen av delta-uppdateringar;
• I kommandobehandlaren XferCommand har en sårbarhet åtgärdats (CVE-2019-18182), som vid MITM-attacker och osignerad databas kan leda till att angriparens kommandon utförs i systemet;
• I makepkg har möjligheten lagts till för att koppla samman hanterare för nedladdning av källpaket och verifiering via digital signatur. Stöd för paketscompression med algoritmerna lzip, lz4 och zstd har lagts till. I repo-add har stöd för databaskompression med hjälp av zstd lagts till. Snart kommer Arch Linux förväntas att som standard övergå till att använda zstd, vilket jämfört med algoritmen 'xz' kommer att snabba upp kompression och dekompression av paket, samtidigt som kompressionsnivån bevaras;
• Möjlighet till byggande med hjälp av systemet Meson istället för Autotools har säkerställts. I nästa utgivning kommer Meson helt att ersätta Autotools;
• Stöd för nedladdning av PGP-nycklar med hjälp av mekanismen Web Key Directory (WKD), vars syfte är att placera offentliga nycklar på webben kopplade till domänen angiven i e-postadressen. Till exempel, för adressen 'test@example.com' kan nyckeln laddas ner via länken 'https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfc5ece9a5f94e6039d5a'. Nedladdning av nycklar via WKD är aktiverad som standard i pacman, pacman-key och makepkg;
• Alternativet '--force' har tagits bort, istället har en mer exakt beskrivning av operationen föreslagits med alternativet '--overwrite' för över ett år sedan;
• I sökresultaten för filer med hjälp av alternativet '-F' säkerställs visning av utökad information, såsom paketets grupp och installationsstatus.

Källa: opennet.ru