Випуск пакетного менеджера Pacman 5.2

доступний реліз пакетного менеджера Pacman 5.2, що застосовується у дистрибутиві Arch Linux. З змін можна виділити:

• Цілком видалена підтримка delta-оновлень, що дозволяють завантажувати лише зміни. Можливість видалена через виявлення вразливості (CVE-2019-18183), що дозволяє здійснити запуск довільних команд у системі під час використання непідписаних БД. Для атаки необхідно, щоб користувач завантажив підготовлені атакуючим файли з БД та delta-оновленням. Підтримка delta-оновлень була відключена за умовчанням і не набула широкого поширення. У майбутньому планується повністю переписати реалізацію delta-оновлень;
• У обробнику команди XferCommand усунуто вразливість (CVE-2019-18182), що дозволяє при MITM-атаці та непідписаній БД домогтися виконання своїх команд у системі;
• У makepkg додано можливість підключення обробників для завантаження вихідних пакетів та перевірки цифрового підпису. Додано підтримку стиснення пакетів з використанням алгоритмів lzip, lz4 та zstd. У repo-add додано підтримку стиснення БД з використанням zstd. Найближчим часом у Arch Linux очікується перехід за умовчанням використання zstd, що порівняно з алгоритмом «xz» дозволить прискорити операції стиснення і розпакування пакетів, зберігши у своїй рівень стиснення;
• Забезпечено можливість збирання з використанням системи Meson замість Autotools. У наступному випуску Meson повністю замінить Autotools;
• Додано підтримку завантаження PGP-ключів з використанням механізму Web Key Directory (WKD), суть роботи якого полягає у розміщенні відкритих ключів у web c прив'язкою до домену, вказаному на поштовій адресі. Наприклад, для адреси «[захищено електронною поштою]ключ може бути завантажений через посилання "https://example.com/.well-known/openpgpkey/hu/183d7d5ab73cfc5ece9a5f94e6039d5a". Завантаження ключів через WKD включено за замовчуванням у pacman, pacman-key та makepkg;
• Видалено опцію «—force», замість якої більше року тому було запропоновано точніше відображає суть операції опція «—overwrite»;
• У результатах пошуку файлів з використанням опції "-F" забезпечено виведення розширеної інформації, такої як група пакета та статус установки.

Джерело: opennet.ru