OpenBSD

OpenBSD е безплатен проект, който доставя мултиплатформена операционна система, подобна на UNIX, която е преносима, ефективна, сигурна и базирана на платформата 4.4BSD. Това е мощен сървър, който се използва на стотици хиляди компютри по цял свят.

Операционната система е свободно достъпна за изтегляне от специализираната секция (виж по-горе) като ISO изображения или двоични пакети, които позволяват на потребителите да я инсталират в мрежата. ISO изображенията могат да се записват върху CD дискове, стартиращи директно от BIOS на повечето компютри.

OpenBSD поддържа двоично емулиране на повечето програми от SVR4 (Solaris), FreeBSD, Linux, BSD, SunOS и HP-UX. Той може да бъде инсталиран на широк спектър архитектури, включително i386, sparc64, alpha, m68k, sh, amd64, PowerPC, m88k, & nbsp; sparc, ARM, hppa, vax, mips64 и mips64el.

Изображението на компакт-диска се стартира автоматично без взаимодействие с потребителя и ще ги попита дали искат ръчно да инсталират, надстройват или автоматично инсталират операционната система, както и да пуснат команда за shell.

Ръчна или автоматична инсталация

Стандартната (ръчна) инсталация ще изисква от потребителите да изберат клавиатурна подредба, да зададат име на хост, да изберат мрежов интерфейс и да го конфигурират с IPv4 и / или IPv6, както и да зададат нова парола за root системен администратор).

Освен това можете да изберете да стартирате SSH и NTP услугите при стартиране на системата, да изберете дали искате да използвате X Window System или не, да настроите потребител, да изберете часова зона, да разделите дисковото устройство и да инсталирате .

Сред включените софтуерни пакети за OpenBSD можем да споменем работните среди на GNOME, KDE и Xfce, сървърите MySQL, PostgreSQL, Postfix и OpenLDAP, Mozilla Firefox, Mozilla Thunderbird, LibreOffice, Emacs, Vim и Chromium, както и програмните езици PHP, Python, Ruby, Tcl / Tk, JDK, Mono и Go.

Обобщавайки, OpenBSD е мощна и много аплодирана сървърна ориентирана операционна система BSD / UNIX, която ни предоставя най-съвременни софтуер, включително OpenSSH, OpenNTPD, OpenSMTPD, OpenBGPD, OpenIKED и mandoc.

Какво е новото в това издание:

• Подобрена хардуерна поддръжка, включително:
• Поддръжка на SMP на платформи на OpenBSD / arm64.
• Поддръжка на VFP и NEON на платформи OpenBSD / armv7.
• Нов драйвер acrtc (4) за аудио кодек X-Powers AC100 и часовник в реално време.
• Нов axppmic (4) драйвер за интегрални схеми за управление на енергията X-Powers AXP.
• Нов bcmrng (4) драйвер за генератор на случаен номер Broadcom BCM2835 / BCM2836 / BCM2836.
• Нов драйвер bcmtemp (4) за температурен монитор Broadcom BCM2835 / BCM2836 / BCM2837.
• Нов драйвер bgw (4) за сензора за движение на Bosch.
• Нов драйвер bwfm (4) за устройства Broadcom и Cypress FullMAC 802.11 (все още експериментални и не са компилирани в ядрото по подразбиране)
• Нов драйвер за ефи (4) за EFI runtime услуги.
• Нов imxanatop (4) драйвер за интегриран регулатор i.MX6.
• Нов rkpcie (4) драйвер за хост / PCIe мост на Rockchip RK3399.
• Нов драйвер sxirsb (4) за контролер с намалена серийна шина на Allwinner.
• Нов драйвер sxitemp (4) за монитор на температурата на Allwinner.
• Нов sxits (4) драйвер за температурен сензор на контролера за тъчпад на Allwinner A10 / A20.
• Нов sxitwi (4) драйвер за двужичен автобус, намиращ се на няколко Allwinner SoCs.
• Нов драйвер sypwr (4) за регулатора Silergy SY8106A.
• Поддръжката на Rockchip RK3328 SoCs е добавена към драйверите dwge (4), rkgrf (4), rkclock (4) и rkpinctrl (4).
• Поддръжката на Rockchip RK3288 / RK3328 SoCs е добавена към драйвера rktemp (4).
• Поддръжката на Allwinner A10 / A20, A23 / A33, A80 и R40 / V40 SoCs е добавена към драйвера на sxiccmu (4).
• Поддръжката на Allwinner A33, GR8 и R40 / V40 SoCs е добавена към драйвера sxipio (4).
• Поддръжката на SAS3.5 MegaRAID е добавена към драйвера mfii (4).
• Помощ за Intel Cannon езеро и Ice Lake интегриран Ethernet е добавен към драйвера em (4).
• cnmac (4) портовете сега се задават на различни CPU ядра за разпределена прекъсваща обработка.
• Плейърът pms (4) вече открива и обработва съобщения за нулиране.
• В AMD64 microcode на процесора на Intel се зарежда при стартиране и се инсталира / актуализира от fw_update (1).
• Подкрепете приложния програмен интерфейс API за cookie interrupt cookie sun4v, като добавите поддръжка за машините SPARC T7-1 / 2/4.
• Добавена е поддръжка за хибернация за SD / MMC хранилище, прикачено към sdhc (4) контролери.
• clang (1) сега се използва като компилатор на системата на armv7 и също така се предоставя на sparc64.
• vmm (4) / vmd (8) подобрения:
• Добавете поддръжка на CD-ROM / DVD ISO към vmd (8) чрез vioscsi (4).
• vmd (8) вече не създава основен интерфейс за мост за виртуални комутатори, дефиниран в vm.conf (5).
• vmd (8) получава информация за превключвателя (rdomain и т.н.) от основния интерфейс на комутатора във връзка с настройките в vm.conf (5).
• Поддръжка на Counter Time Stamp (TSC) във виртуалните ВМ.
• Подкрепете ukvm / Solo5 unikernels в vmm (4).
• Подобрете по-добре валидните (но необичайни) кодировки на инструкциите.
• Подкрепа за по-добра поддръжка на PAE за 32-битови VMs за гости на Linux.
• vmd (8) вече позволява до четири мрежови интерфейса във всеки VM.
• Добавете пауза за мигриране и поддръжка на snapshot към vmm (4) за хостове AMD SVM / RVI.
• BREAK командите, изпратени през pty (4), вече се разбират от vmd (8).
• Много коригира обработката на грешки vmctl (8) и vmd (8).
• Подобрения в безжичните стекове на IEEE 802.11:
• драйверите iwm (4) и iwn (4) автоматично ще се движат между точки за достъп, които споделят ESSID. Принуждаването на MAC адреса на конкретен AP с командата bssid на ifconfig забранява роуминг.
• Автоматично изчистване на конфигурираните ключове WEP / WPA при конфигуриране на нова мрежа ESSID.
• Премахна възможността потребителската зона да прочете конфигурирани ключове WEP / WPA обратно от ядрото.
• Драйверът iwm (4) вече може да се свърже с мрежи със скрит SSID.
• USB устройствата, поддържани от драйвера на athn (4), сега използват фърмуер с отворен код и режимът hostap вече работи с тези устройства.
• Подобрения в общите мрежови стекове:
• Мрежовият стак вече не работи с KERNEL_LOCK (), когато IPsec е активиран.
• Обработката на входящите TCP / UDP пакети се извършва без KERNEL_LOCK ().
• Задаването на socket slicing работи без KERNEL_LOCK ().
• Почистване и премахване на кода в sys / netinet6, тъй като autoconfiguration тече в Userland сега.
• мост (4) членовете вече могат да бъдат възпрепятствани да разговарят помежду си с новата защитена опция.
• Функцията за прехвърляне на пакети pf е опростена. Опцията IP_DIVERTFL socket бе премахната от пренасочването (4).
• Различните ъгълни случаи на пренасочване към PF и отклоняване-отговор са по-последователни сега.
• Утвърдете в pf (4), че всички пакети за съседство за откриване имат 255 в полето за ограничение на хопа на IPv6 заглавието.
• Нова опция за синхронизиране в pf.conf (5).
• Поддръжка за GRE over IPv6.
• Нов егир (4) драйвер за Ethernet през GRE тунели.
• Подкрепа за допълнителната заглавка на GRE ключ и ентропията GRE ключ в gre (4) и egre (4).
• Нов драйвер nvgre (4) за мрежова виртуализация с използване на обобщаващо генериране на маршрути.
• Поддръжка за конфигуриране на пакетите с фрагменти Do not Fragment, капсулирани с тунелни интерфейси.
• Надстройки на инсталатора:
• ако install.site или upgrade.site не успеят, уведомете потребителя и грешката, след като сте съхранили rand.seed.
• позволете CIDR нотация при въвеждане на IPv4 и IPv6 адреси.
• поправя селекцията на HTTP огледало от списъка с огледала.
• позволете "-" в потребителските имена.
• задавайте въпрос в края на процеса на инсталиране / надстройване, така че връщането на карето причинява подходящо действие, напр. рестартиране.
• Показва командата за режима (инсталиране или надстройка) на командата, стига да не е известно име на хоста.
• правилно да откриете кой интерфейс има маршрута по подразбиране и дали е бил конфигуриран чрез DHCP.
• Уверете се, че комплектите могат да се четат от областта за предварително зареждане.
• Уверете се, че пренасочването на URL адресите е ефективно за цялата инсталация / надстройка.
• добавете HTTP прокси сървъра, използван при извличането на настройките в rc.firsttime, където fw_update и syspatch могат да го намерят и използват.
• добавете логика, за да поддържате RFC 7217 с SLAAC.
• уверете се, че IPv6 е конфигуриран за динамично създадени мрежови интерфейси като vlan (4).
• създайте правилно име на хост, когато опциите за търсене на домейни и търсене на домейни са предоставени в отдаването под наем на DHCP.
• Демонстриране на маршрути и други подобрения в мрежата за ползване:
• bgpctl (8) има нова опция ssv, която извежда вписванията на ребра като единична точка и запетая, отделена за избор преди извеждането.
• slaacd (8) генерира случайни, но стабилни IPv6 адреси без автопортуриране според RFC 7217. Те са активирани по подразбиране в съответствие с RFC 8064.
• slaacd (8) следва RFC 4862 чрез премахване на изкуствено ограничение на префикси с размер / 64, използвайки RFC 7217 (произволни, но стабилни) и RFC 4941 (личен живот) стил адреси за автоматично конфигуриране.
• ospfd (8) вече може да настрои показателя за маршрут в зависимост от състоянието на интерфейса.
• ifconfig (8) има нова опция staticarp, за да направи интерфейсите отговор само на ARP заявки.
• ipsecctl (8) вече може да сгъва изходящите потоци, имащи един и същ източник или дестинация.
• Опцията -n в netstart (8) вече не бърка с маршрута по подразбиране. Това вече е документирано.
• Подобрения в сигурността:
• Използвайте още повече капан-шейни на различни архитектури.
• По-голямо използване на .rodata за постоянни променливи в източника на монтаж.
• Спрете използването на x86 "repz ret" в прашни ъгли на дървото.
• Въведете "execpromises" в залог (2).
• Помощната програма elfrdsetroot, използвана за изграждане на ramdisks, и процеса на мониторинг на отскок (8), сега използват залог (2).
• Подгответе за въвеждането на MAP_STACK в mmap (2) след 6.3.
• Натиснете малка част от KARL-свързания текст на ядрото в генератора на произволни числа като ентропия при стартиране.
• Поставете малка случайна празнина в горната част на колоните, така че нападателите да имат още едно изчисление, което да изпълнява за работата си по ROP.
• Намаляване на уязвимостта за уязвимостта на Meltdown за процесори AMD64 на Intel.
• Сега OpenBSD / arm64 използва изолацията на таблицата за страница на ядрото, за да смекчи атаките на Specter вариант 3 (Meltdown).
• OpenBSD / armv7 и OpenBSD / arm64 вече изчистват Buffer Target Buffer (BTB) на процесори, които правят спекулативно изпълнение, за да смекчат атаките на Spectre variant 2.
• pool_get (9) нарушава реда на елементите на новоизградените страници, което прави оформлението на ядрото купчина по-трудно да се предскаже.
• Системното повикване fktrace (2) бе изтрито.
• dhclient (8) подобрения:
• Разглеждането на dhclient.conf (5) вече не изтича на низовете на SSID, низовете, които са твърде дълги за буфера за анализиране или опциите и командите за повтарящи се низове.
• Съхраняването на лизингови договори в dhclient.conf (5) вече не се поддържа.
• "DENY" вече не е валиден в dhclient.conf (5).
• dhclient.conf (5) и dhclient.leases (5) съобщенията за грешки при синтактичен анализ са опростени и изяснени с подобрено поведение в присъствието на неочаквани точка и запетая.
• По-голяма е грижата да използвате само конфигурираната информация, която е била успешно анализирана.
• '- n' е добавен, което кара dhclient (8) да излезе след анализа на dhclient.conf (5).
• Стандартните маршрути по опции безкласовите статични маршрути (121) и безкласовите (MS) статични маршрути (249) сега са правилно представени в файловете dhclient.leases (5).
• Презапишете файла, зададен с "-L", вместо да го добавите.
• Лизингът в dhclient.leases (5) сега съдържа атрибут "epoch", който записва времето, през което е приет лизинговият договор, който се използва за изчисляване на правилното подновяване, връщане и изтичане.
• Вече не се заблуждавайте за долни черти в имена, нарушаващи RFC 952.
• Безусловно изпращайте информация за име на хост, когато поискате лизинг, като премахнете нуждата от dhclient.conf (5) в инсталацията по подразбиране.
• По подразбиране е тихо. "-q" е премахнат и "-v" е добавен, за да се даде възможност за подробно регистриране.
• Отхвърлете дублирани оферти за искания адрес.
• Безусловно отидете във фонов режим след секунди на изчакване на връзката.
• Значително намалявате времето на записване, когато сте на тихо място, но правете '-v' да регистрирате цялата информация за отстраняване на грешки, без да е необходимо да компилирате персонализиран изпълним файл.
• Игнорирайте "интерфейсните" изрази в dhclient.leases (5) и приемете, че всички лизинг във файла са за конфигуриран интерфейс.
• Показване на източника на лизинга, обвързан с интерфейса.
• "ignore", "request" и "require" декларации в dhclient.conf (5) сега добавете посочените опции към съответния списък, вместо да замените списъка.
• Премахване на стартово състезание, което може да доведе до излизане на dhclient (8) без конфигуриране на интерфейса.
• Различни подобрения:
• Реорганизация на кода и други подобрения на malloc (3) и приятели, за да станат по-ефективни.
• Когато извършвате операции със спиране или хибернация, уверете се, че всички файлови системи са правилно синхронизирани и маркирани чисти или ако не могат да бъдат поставени в чисто чисто състояние на диска (поради отворени и несвързани файлове), тогава ги маркирайте мръсни, / unhibernate е гарантирано да изпълни fsck (8).
• аme-client (1) автоматично разпознава URL адреса на споразумението и следва 30x HTTP пренасочвания.
• Добавена е __cxa_thread_atexit () за поддръжка на съвременните вериги на инструменти C ++.
• Добавена е поддръжка на EVFILT_DEVICE, за да се накланя (2) за наблюдение на промените на drm (4) устройства.
• ldexp (3) вече обработва знака за денормални числа правилно на mips64.
• Нови функции sincos (3) в libm.
• fdisk (8) сега гарантира валидността на отместванията на дяловете на MBR, въведени по време на редактирането.
• fdisk (8) сега гарантира, че стойностите по подразбиране са в рамките на валидния обхват.
• по-малко (1) сега разделя само променливата на средата по-малко на "$".
• по-малко (1) вече не създава фалшив файл, когато срещне "$" в началната команда.
• softraid (4) вече утвърждава броя на парчетата при сглобяването на силата на звука, като гарантира, че метаданните в диска и метаданните в паметта са синхронизирани.
• disklabel (8) предлага винаги да редактира размера на фрагмента на дяла на FFS, преди да предложи да редактира размера на блоковете.
• disklabel (8) позволява редактирането на атрибута на цилиндрите / групата (cpg) винаги, когато блокирането на дяловете може да бъде редактирано.
• disklabel (8) сега открива ^ D и невалиден вход по време на (R) esize команди.
• disklabel (8) сега открива подледения и преливници, когато се използват оператори - / +.
• disklabel (8) сега избягва изключване при изчисляването на броя цилиндри в свободното парче.
• disklabel (8) вече утвърждава заявения размер на дяла спрямо размера на най-голямата свободна част вместо общото свободно пространство.
• Поддръжка за изхвърляне на USB трансфери чрез bpf (4).
• tcpdump (8) вече може да разбира разтоварвания на USB трансфери във формат USBPcap.
• Подразбиращите се подсказвания на csh (1), ksh (1) и sh (1) вече включват името на хоста.
• Разпределението на паметта в ksh (1) бе превключено от calloc (3) обратно в malloc (3), което улесни разпознаването на неинициализираната памет. В резултат на това е открита и фиксирана грешка, свързана с историята в режима за редактиране на emacs.
• Нов скрипт (1) -c опция за стартиране на команда вместо shell.
• Нова опция grep (1) -m за ограничаване на броя на съвпаденията.
• Нова uniq (1) -i опция за сравняване на малки и малки букви.
• Векторът за формат printf (3) вече не се валидира при търсене на% формати. Въз основа на ангажимент от андроид и следват повечето други операционни системи.
• Подобрена проверка на грешките в vfwprintf (3).
• Много базови програми са одитирани и коригирани за дефинирани файлови описания, включително cron (8), ftp (1), mandoc (1), openssl (1), ssh (1) и sshd (8). >
• Различни корекции на грешки и подобрения в jot (1):
• Границите на произволните дължини на аргументите за опциите -b, -s, -w са премахнати.
• Форматорът за формат% F вече се поддържа и е отстранена грешка във формат% D
• По-добро покритие на кода при регресионни тестове.
• Няколко препълнения на буфера бяха фиксирани.
• Помощната програма за корекция (1) сега се справя по-добре с git diffs, които създават или изтриват файлове.
• pkg_add (1) вече има подобрена поддръжка за HTTP (S) пренасочващи устройства като cdn.openbsd.org.
• ftp (1) и pkg_add (1) сега поддържат възобновяване на сесията HTTPS за подобрена скорост.
• mandoc (1) -T ps размерът на изходния файл намалява с повече от 50%.
• syslogd (8) записи, ако имаше предупреждения по време на стартирането.
• syslogd (8) спря да се регистрира в файлове в пълна файлова система. Сега той пише предупреждение и продължава, след като пространството е на разположение.
• vmt (4) сега позволява клониране и вземане на само снимки на дисковете на гости.
• OpenSMTPD 6.0.4
• Добавете опцията за ходене на SPF към smtpctl (8).
• Асортирани почиствания и подобрения.
• Редица ръчни корекции на страници и подобрения.
• OpenSSH 7.7
• Нови / променени функции:
• Всички: Добавете експериментална поддръжка за ключа PQC XMSS (Extended Hash-Based Signatures) въз основа на алгоритъма, описан в https://tools.ietf.org/html/draft-irtf-cfrg-xmss-hash-based-signatures -12 Кодът на подпис XMSS е експериментален и не е компилиран по подразбиране.
• sshd (8): Добавете "rdomain" критерии за ключовата дума sshd_config, за да позволи условна конфигурация, която зависи от това кой маршрутизиращ домейн е получил връзка (понастоящем се поддържа от OpenBSD и Linux).
• sshd_config (5): Добавете допълнителен квалификатор за rdomain към директивата ListenAddress, за да позволите слушането на различни маршрутизиращи домейни. Това се поддържа само в OpenBSD и Linux в момента.
• sshd_config (5): Добавете директивата RDomain, за да позволите на удостоверената сесия да бъде поставена в изрично посочен домейн. Това се поддържа само в OpenBSD в момента.
• sshd (8): Добавете "време за изтичане" опция за разрешени файлове с разрешени ключове
• ssh (1): Добавете опция BindInterface, за да позволите свързването на изходящата връзка към адреса на интерфейса (основно по-използваема BindAddress).
• ssh (1): Изложете устройството, предназначено за пренасочване на тунел / кран, чрез ново разширение% T за LocalCommand. Това позволява на LocalCommand да се използва за подготовка на интерфейса.
• sshd (8): Изложете устройството, предназначено за пренасочване на тунел / кран, чрез нова променлива на средата SSH_TUNNEL. Това позволява автоматична настройка на интерфейса и конфигурацията на околните мрежи автоматично на сървъра.
• ssh (1) / scp (1) / sftp (1): Добавете поддръжка на URI към ssh, sftp и scp, напр. ssh: // user @ host или sftp: // user @ host / path. Допълнителните параметри на връзката, описани в draft-ietf-secsh-scp-sftp-ssh-uri-04, не се изпълняват, тъй като форматът на пръстовия отпечатък ssh в чернова използва отхвърления MD5 хеш, без да посочва друг алгоритъм.
• ssh-keygen (1): Допускане на интервали за валидност на сертификата, които указват само начално или крайно време (вместо и двете, или не).
• sftp (1): Позволете "cd" и "lcd" команди без аргумент за изричен път. lcd ще се промени в домашната директория на местния потребител, както обикновено. cd ще се промени в стартовата директория за сесия (защото протоколът не предлага никакъв начин за получаване на домашната директория на отдалечения потребител). BZ # 2760
• sshd (8): Когато правите тест за config с sshd -T, изискват само атрибутите, които действително се използват в критериите за съвпадение, а не (непълния списък) на всички критерии.
• В тази версия са зададени следните значими бъгове:
• ssh (1) / sshd (8): По-стриктно проверявайте типовете подписи по време на обмена на ключове срещу това, което е било договорено. Предотвратява понижаването на подписите на RSA, направени с SHA-256/512 на SHA-1.
• sshd (8): Прикрепете поддръжка за клиент, който рекламира протоколна версия на "1.99" (което показва, че те са готови да приемат SSHv1 и SSHv2). Това бе счупено в OpenSSH 7.6 по време на премахването на SSHv1 поддръжка. BZ # 2810
• ssh (1): Предупреждавайте, когато агентът връща сигнал ssh-rsa (SHA1), когато се иска подписване rsa-sha2-256 / 512. Това условие е възможно, когато се използва стар или не-OpenSSH агент. BZ # 2799
• ssh-agent (1): Фиксирайте регресията, въведете в 7.6, което е накарало ssh-агента да излезе фатално, ако е подал невалидно съобщение за заявка за подпис.
• sshd_config (5): Приемане на опции за знак "Да / не" в случай на несъответствие, какъвто е случаят с ssh_config (5) за дълго време. BZ # 2664
• ssh (1): Подобрете отчитането на грешки при неуспехи по време на свързване. При някои обстоятелства се показват подвеждащи грешки. BZ # 2814
• ssh-keyscan (1): Добавете опцията -D, за да позволите директно да печатате резултати в SSHFP формат. BZ # 2821
• тестове за възстановяване: Fix PuTTY interop test, счупен в премахването на SSHv1 от последното съобщение. BZ # 2823
• ssh (1): Определяне на съвместимост за някои сървъри, които погрешно изпускат връзката при изпращане на опцията IUTF8 (RFC8160).
• scp (1): Изключете RemoteCommand и RequestTTY в ssh сесията, стартирана от scp (sftp вече го прави.)
• ssh-keygen (1): Откажете да създадете сертификат с неизползваем брой принципи.
• ssh-keygen (1): Фатално излизане, ако ssh-keygen не може да напише целия публичен ключ по време на генерирането на ключа. По-рано тя мълчаливо би пренебрегнала грешките при писането на коментара и прекратяването на нов ред.
• ssh (1): Не променяйте аргументите на имена на хостове, които са адреси, като ги принуждавате автоматично да ги махнат. Вместо да ги канонизирате, за да разрешите неяснотите (например :: 0001 = & :: :: 1), преди те да бъдат съпоставени с известни_голями. BZ # 2763
• ssh (1): Не приемайте боклуци след "да" или "не" отговори на подсказванията на клавиша за хост. BZ # 2803
• sftp (1): Трябва ли sftp да отпечата предупреждение за чистотата на черупките, когато декодирането на първия пакет се провали, което обикновено е причинено от черупки, замърсяващи стадото на не-интерактивни стартирания. BZ # 2800
• ssh (1) / sshd (8): Превключвайте таймерите в пакетен код от времето на стената до монотонното време, което позволява слоят на пакета да функционира по-добре. >
• Редица ръчни корекции на страници и подобрения.
• LibreSSL 2.7.2
• Добавена е поддръжка за много OpenSSL 1.0.2 и 1.1 APIs, базирани на наблюдения на реалната употреба в приложенията. Те се изпълняват успоредно със съществуващите API OpenSSL 1.0.1 - не са направени промени в видимостта на съществуващите структури, което позволява кодексът, написан за по-старите API OpenSSL, да продължи да работи.
• Обширни корекции, подобрения и допълнения към документацията за приложния програмен интерфейс (API), включително нови публични приложни програмни интерфейси (API) от OpenSSL, които нямат вече съществуваща документация.
• Добавена е поддръжка за автоматична инициализация на библиотека в libcrypto, libssl и libtls. Поддръжката за pthread_once или съвместим еквивалент сега се изисква от целевата операционна система. Като страничен ефект минималната поддръжка за Windows е Vista или по-висока.
• Преобразуваха повече методи за обработка на пакети в CBB, което подобрява гъвкавостта при генериране на TLS съобщения.
• Завършено преработване на разширението на TLS разширяване, подобрявайки последователността на проверките за неправилно формулирани и дублирани разширения.
• Пренапишете ASN1_TYPE_ {get, set} _octetstring (), като използвате шаблона ASN.1. Това премахва последното оставащо използване на старите M_ASN1_ * макроси (asn1_mac.h) от API, което трябва да продължи да съществува.
• Добавена е поддръжка за възобновяване на сесията от страна на клиента в libtls. Клиентът libtls може да определи дескриптор на файловете за сесии (обикновен файл със съответната собственост и разрешения), а libtls ще управлява четенето и писането на сесийни данни чрез TLS ръкостискания.
• Подобрена поддръжка за стриктно изравняване на ARMv7 архитектури, условно позволяващо монтаж в тези случаи.
• Коригира изтичане на памет в libtls при повторно използване на tls_config.
• Обединява повече поддръжка на DTLS в обикновения TLS кодов път, като премахва дублирания код.
• Портове и пакети:
• dpb (1) и нормалните портове (7) вече могат да се възползват от същия модел, разделен на привилегии, като зададат PORTS_PRIVSEP = Да
• Много предварително създадени пакети за всяка архитектура:
• aarch64: 7990
• алфа: 1
• amd64: 9912
• ръка: XXXX
• hppa: XXXX
• i386: 9861
• mips64: 8149
• mips64el: XXXX
• powerpc: XXXX
• sh: 1
• sparc64: XXXX
• Някои акценти:
• AFL 2.52b
• CMake 3.10.2
• Chromium 65.0.3325.181
• Emacs 21.4 и 25.3
• ССЗ 4.9.4
• GHC 8.2.2
• Gimp 2.8.22
• GNOME 3.26.2
• Отидете 1.10
• Groff 1.22.3
• JDK 8u144
• KDE 3.5.10 и 4.14.3 (плюс основни актуализации на KDE4)
• LLVM / Clang 5.0.1
• LibreOffice 6.0.2.1
• Lua 5.1.5, 5.2.4 и 5.3.4
• MariaDB 10.0.34
• Mozilla Firefox 52.7.3esr и 59.0.2
• Mozilla Thunderbird 52.7.0
• Mutt 1.9.4 и NeoMutt 20180223
• Node.js 8.9.4
• Ocaml 4.03.0
• OpenLDAP 2.3.43 и 2.4.45
• PHP 5.6.34 и 7.0.28
• Postfix 3.3.0 и 3.4-20180203
• PostgreSQL 10.3
• Python 2.7.14 и 3.6.4
• R 3.4.4
• Ruby 2.3.6, 2.4.3 и 2.5.0
• Rust 1.24.0
• Sendmail 8.16.0.21
• SQLite3 3.22.0
• Sudo 1.8.22
• Tcl / Tk 8.5.19 и 8.6.8
• TeX Live 2017
• Вим 8.0.1589
• Xfce 4.12
• Както обикновено, постоянни подобрения в страниците с ръководства и друга документация.
• Системата включва следните основни компоненти от външни доставчици:
• Xenocara (въз основа на X.Org 7.7 с xserver 1.19.6 + кръпки, freetype 2.8.1, fontconfig 2.12.4, Mesa 13.0.6, xterm 330, xkeyboard-config 2.20 и повече)
• LLVM / Clang 5.0.1 (+ пластири)
• ССЗ 4.2.1 (+ пластири) и 3.3.6 (+ пластири)
• Perl 5.24.3 (+ пластири)
• NSD 4.1.20
• Нелиберализирани 1.6.8
• Ncurses 5.7
• Binutils 2.17 (+ пластири)
• Gdb 6.3 (+ пластири)
• Awk август 10, 2011 версия
• Експат 2.2.5

Какво е новото във версия 6.2:

• Нови / разширени платформи:
• ARMv7:
• Добавено е bootloader на EFI, ядрото се зарежда от FFS вместо FAT или EXT файлови системи, без U-Boot заглавки.
• Сега едно ядро ​​и ramdisk се използват за всички SoCs.
• Хардуерът се изброява динамично чрез дърво с плоски устройства (FDT) вместо чрез статични таблици, базирани на идентификационни номера на борда.
• Минималните инсталационни изображения включват U-Boot 2016.07 с поддръжка на полезни натоварвания на EFI.
• VAX:
• отстранени.
• Подобрена хардуерна поддръжка, включително:
• Нов драйвер bygpio (4) за GPIO контролера на Intel Bay Trail.
• Нов драйвер chvgpio (4) за GPIO контролера Intel Cherry View.
• Нов maxrtc (4) драйвер за часовника за реално време Maxim DS1307.
• Нов nvme (4) драйвер за интерфейса на хост контролера за не-летливи памети (NVMe).
• Нов pcfrtc (4) драйвер за часовника за реално време NXP PCF8523.
• Нов UMB (4) драйвер за модела за мобилен широколентов интерфейс (MBIM).
• Нов уре (4) драйвер за 10/100 USB Ethernet устройства, базирани на RealTek RTL8152.
• Нов учфуф (4) драйвер за аудио / видео устройства за улавяне на базата на Fushicai USBTV007.
• Драйверът iwm (4) вече поддържа Intel Wireless 3165 и 8260 устройства и работи по-надеждно в ядрото RAMDISK.
• Поддръжката на I2C HID устройства с прекъсвания на сигнализирани GPIO бе добавена към dwiic (4).
• Поддръжката за по-големи ширини на шини, режими с висока скорост и DMA трансфери е добавена към sdmmc (4), rtsx (4), sdhc (4) и imxesdhc (4)
• Поддръжка на USB контролери, съвместими с EHCI и OHCI, на SoCs на Octeon II.
• Много драйвери за USB устройства са активирани на OpenBSD / octeon.
• Подобрена поддръжка за внедрявания на хардуер ACPI.
• Подобрена поддръжка за внедряването на ACPI 5.0.
• Сега криптирането на AES-NI се извършва без да се държи ключалката на ядрото.
• Подобрена поддръжка на AGP на машините PowerPC G5.
• Добавена е поддръжка за слота за SD карти в SoCs на Intel Bay Trail.
• Ичийският (4) драйвер сега пренебрегва прекъсването на SMBALERT #, за да предотврати прекъсване на буря с внедряване на BIOS.
• Проблемите с прикачването на устройството с драйвера на axen (4) са били коригирани.
• Водачът ral (4) е по-стабилен при натоварване с устройства RT2860.
• Проблемите с мъртвите клавиатури след възобновяване са били коригирани в драйвера pckbd (4).
• Driver rtsx (4) вече поддържа RTS522A устройства.
• Добавена е първоначална поддръжка за MSI-X.
• Поддръжка на MSI-X в драйвера виртио (4).
• Добавена е алтернатива за хардуерно DMA надхвърляне на драйвера за dc (4).
• Шофьорът на acpitz (4) сега завърта вентилатора след охлаждане, ако ACPI използва хистерезис за активно охлаждане.
• Шофьорът xhci (4) изпълнява правилно предаванията от BIOS-съвместим с xHCI.
• Към драйвера за wsmouse (4) е добавена поддръжка за мулти докосване.
• Драйверът uslcom (4) вече поддържа серийната конзола на безжичните контролери Aruba 7xxx.
• Шофьорът на re (4) сега работи около счупени светодиодни конфигурации в EEPROM APU1.
• Драйверът ehci (4) вече работи около проблеми с ATI USB контролерите (например SB700).
• Драйверът xen (4) вече поддържа конфигурация domU под Qubes OS.
• Подобрения в безжичните стекове на IEEE 802.11:
• Блокираната логика на HT блок ack получава буквата, която следва алгоритъма, даден по-подробно в спецификациите 802.11-2012.
• Драйверът на iwn (4) сега следи за промените в HT защита, докато е свързан с 11n AP.
• Безжичният стек и няколко драйвери използват по-агресивно RTS / CTS, за да избегнат смущенията от старите устройства и скритите възли.
• Командата netstat (1) -W вече показва информация за събития 802.11n.
• В режим "hostap" не използвайте отново идентификационните номера на възли, които все още са кеширани. Коригира проблем, при който точката за достъп, използваща ral (4) драйвер, ще се забие при 1 Mbps, тъй като отчитането на тарифите Tx се е случило на грешен обект на възел.
• Подобрения в общите мрежови стекове:
• Таблицата за маршрутизиране вече се основава на ART, което предлага по-бързо търсене.
• Броят на търсенето на маршрути за пакет е намален на 1 в маршрута за препращане.
• Приовото поле на VLAN заглавките вече е правилно настроено на всеки фрагмент от пакет IPv4, който излиза на интерфейс vlan (4).
• Активирано клониране на устройството за bpf (4). Това позволява на системата да има само един възел на bpf устройството в / dev, който обслужва всички потребители на bpf (до 1024).
• Опашката Tx на драйвера cnmac (4) вече може да бъде обработена успоредно на останалата част от ядрото.
• Пътят на входа на мрежата се изпълнява в контекст с конец.
• Надстройки на инсталатора:
• актуализиран списък с ограничени потребителски кодове
• install.sh и upgrade.sh се обединяват в install.sub
• актуализацията автоматично ще стартира sysmerge (8) в партиден режим преди fw_update (1)
• Въпросите и отговорите са записани във формат, който може да се използва като файл с отговори за използване от автоматичната инсталация (8)
• / usr / local е настроен на wxallowed по време на инсталиране
• Демонстриране на маршрути и други подобрения в мрежата за ползване:
• Добавете поддръжка на таблицата за маршрутизиране към rc.d (8) и rcctl (8).
• Нека nc (1) поддържа имена на услуги в допълнение към номерата на портове.
• Добавете флаговете TTL -M и -m към nc (1).
• Добавете поддръжка на AF_UNIX към tcpbench (1).
• Фиксирана регресия в rarpd (8). Демонът може да виси, ако дълго време е бил неактивен.
• Добавена е опцията llprio в ifconfig (8).
• Многобройните програми, които използват bpf (4), са модифицирани, за да се възползват от клонирането на bpf (4) устройства, като отворят / dev / bpf0, вместо да пренасочат устройства / dev / bpf *. Тези програми включват arp (8), dhclient (8), dhcpd (8), dhcrelay8, hostapd8, mopd8, npppd8, rarpd8, rbootd8 и tcpdump (8). Библиотеката libpcap също така е променена.
• Подобрения в сигурността:
• W ^ X се прилага строго по подразбиране; програмата може да я наруши само ако изпълнимият файл е маркиран с PT_OPENBSD_WXNEEDED и е разположен на файлова система, монтирана с опцията wxallowed mount (8). Тъй като все още има твърде много пристанища, които нарушават W ^ X, инсталаторът монтира / usr / local file system с wxallowed. Това позволява базовата система да бъде по-сигурна, докато / usr / local е отделна файлова система. Ако не използвате програми за нарушаване на W ^ X, помислете за ръчно отменяне на тази опция.
• Семейството функции на setjmp (3) сега прилага бисквитките XOR към стойностите на стека и връщането в jmpbuf на amd64, hppa, i386, mips64 и powerpc.
• Стимулиране на SROP: sigreturn (2) сега може да се използва само от сигналния трамплин, предоставен от ядрото, с "бисквитка" за откриване на опити за повторно използване.
• За да предотврати използването на повторното използване на код, rc (8) пренасочва libc.so при стартиране, поставяйки обектите в произволен ред.
• В семейството от функции на getpwnam (3) спирайте отварянето на базата данни в сянка по подразбиране.
• Позволява да се стартира tcpdump (8) -r без права на root.
• Премахнете систрацията.
• Премахване на поддръжката на емулация на.
• Премахнете поддръжката за опцията за потребителски мач.
• Кешът на TCP SYN reseeds случайно хеш функция от време на време. Това предотвратява нападателя да изчисли разпределението на хеш функцията с атака на времето.
• За да работи срещу нападенията срещу SYN насилие, администраторът може да промени размера на хеш масива сега. netstat (1) -s -p tcp показва съответната информация, за да настрои кеша SYN със sysctl (8) net.inet.tcp.
• Администраторът може да изисква права на root за свързване към някои TCP и UDP портове със sysctl (8) net.inet.tcp.rootonly и sysctl (8) net.inet.udp.rootonly.
• Премахнете показалеца за функция от структурата на данни mbuf (9) и използвайте индекс в масив от приемливи функции.
• Различни подобрения:
• Библиотеката с конец вече може да бъде заредена в процес с едно резбоване.
• Подобрено управление на символите и съответствие със стандартите в libc. Например, дефинирането на функцията open () няма да пречи на работата на fopen (3).
• Разделите PT_TLS сега се поддържат в първоначално заредения обект.
• Подобрено обработване на "без пътеки" и "празен път" в fts (3).
• В pcap (3) въведете функциите pcap_free_datalinks () и pcap_offline_filter ().
• Много корекции на бъгове и структурно почистване в библиотеката за редактиране (3).
• Премахване на древните функции dbm (3); ndbm (3) остава.
• Добавете ключовата дума setenv за по-мощно управление на околната среда в doas.conf (5).
• Добавете опции -g и -p към aucat.1 за позициониране по време.
• Презаписвайте audioctl (1) с по-прост потребителски интерфейс.
• Добавете опцията -F, за да инсталирате (1) fsync (2) файла, преди да го затворите.
• kdump (1) сега разтоварва pollfd структури.
• Подобрете различните детайли на ksh (1) POSIX.
• mknod (8) е пренаписан в стих (2), който е с приятен стил и поддържа създаването на няколко устройства наведнъж.
• Внедрете rcctl (8) да получите всичко и getdef всички.
• Изпълнете флага rcs (1) -I (интерактивно).
• В rcs (1) изпълнете Mdocdate заместване на ключови думи.
• В горната част (1) позволете да филтрирате аргументите на процеса, ако те се показват.
• Добавена е поддръжка на UTF-8 за фолд (1) и rev (1).
• По подразбиране активирайте UTF-8 в xterm (1) и pod2man (1).
• Филтрирайте не-ASCII символи в стена (1).
• Управлявайте постоянно променливата на средата COLUMNS в много програми.
• Опциите -c и -k позволяват да се предоставят клиентски сертификати за TLS за syslogd (8) на изпращащата страна. При това получаващата страна може да провери дали дневникът е автентичен. Имайте предвид, че syslogd все още няма тази функция за проверка.
• Когато клоговия буфер прелисти, syslogd ще напише съобщение в дневника, за да покаже, че някои от тях липсват.
• На OpenBSD / octeon е активирано буферирането на кеша на процесора за подобряване на производителността.
• pkg_add (1) и pkg_info (1) вече разбират понятието клон за облекчаване на избора на някои популярни пакети като python или php, например pkg_add python% 3.4, за да изберете клона 3.4 и използвайте pkg_info -zm получете размита малка обява с подбор, подходящ за pkg_add -l.
• fdisk (8) и pdisk (8) незабавно излизат, освен ако не премине специално характерно устройство
• st (4) правилно проследява текущия брой блокове за блокове с променлив размер
• fsck_ext2fs (8) работи отново
• обемът на softraid (4) може да бъде конструиран с дискове с размер на сектора, различен от 512 байта
• dhclient (8) DECLINE и изхвърля неизползваните ОФЕРТИ.
• dhclient (8) незабавно излиза, ако неговият интерфейс (например мост (4)) връща EAFNOSUPPORT при изпращане на пакет.
• httpd (8) връща 400 грешни заявки за заявки HTTP v0.9.
• Инициализацията на мързеливия възел на ffs2 избягва обработката на произволни дискови данни като инод
• fcntl (2) invocations в базовите програми използват idiom fcntl (n, F_GETFL) вместо fcntl (n, F_GETFL, 0)
• гнездо (2) и accept4 (2) invocations в базовите програми използват SOCK_NONBLOCK, за да се премахне нуждата от отделна fcntl (2).
• tmpfs не е разрешено по подразбиране
• семантиката на обещанието в ядрото (2) се подобри по много начини. Акценти включват: ново обещание, което позволява на заложените програми да задават атрибути, по-стриктното прилагане на обещанието recvfd и chroot (2) вече не е разрешено за заложени програми.
• бяха фиксирани редица грешки, свързани със заложния (2) (липсващи обещания, непредвидени промени в поведението, катастрофи), особено в gzip (1), nc (1), sed (1), skeyinit (1) и различни инструменти, свързани с диска, като disklabel (8) и fdisk (8).
• Грешки при изчисляването на размера на блока в аудио (4) драйвера са били фиксирани.
• Шофьорът usb (4) вече кешира доставчиците и идентификационните номера на продуктите. Коригира проблем, при който usbdevs (8), призован в цикъл, би причинил USB устройство за масово съхраняване, за да спре операцията.
• Шофьорите rsu (4) и ural (4) вече работят отново, след като са били случайно счупени в 5.9.
• OpenSMTPD 6.0.0
• Сигурност:
• Внедрете моделът fork + exec в smtpd (8).
• Коригирайте логически проблем в машината SMTP, която може да доведе до невалидно състояние и да доведе до катастрофа.
• Включете теч на файл-показалец, който може да доведе до изтощаване на ресурсите и да доведе до катастрофа.
• Използвайте автоматични DH параметри вместо фиксирани.
• Деактивирайте DHE по подразбиране, тъй като е изчислително скъп и потенциален DoS вектор.
• Следните подобрения бяха добавени във версия 6.2:
• Добавете опцията -r към smtpd (8) enqueuer за съвместимост с mailx.
• Добавете липсващата дата или идентификационния номер на съобщението, когато слушате в подавания порт.
• Прикрепете "smtpctl show queue" докладване "невалидно" състояние на обвивката.
• Преработване на формата на раздела "Получени" така че частта TLS да не нарушава RFC.
• Увеличете броя на връзките, които може да установи локален адрес, и намалете забавянето между транзакциите в същата сесия.
• Коригирайте доставката на LMTP на сървъри, връщащи линии за продължаване.
• Подобрете още API за филтриране на експериментални филтри и поправете различни свързани с тях проблеми.
• Започнете да подобрявате и обединявате формата на съобщенията в дневника.
• Коригирайте няколко несъответствия в документацията и печатни грешки в страниците с инструменти.
• OpenSSH 7.3
• Сигурност:
• sshd (8): Намаляване на потенциалната атака при отказ на услуга срещу функцията на криптата (3) на системата чрез sshd (8). Нападателят може да изпрати много дълги пароли, които биха причинили прекомерно използване на CPU в криптата (3). sshd (8) сега отказва да приеме заявки за удостоверяване на пароли с дължина по-голяма от 1024 знака.
• sshd (8): Намаляване на разликите във времето при удостоверяване на паролата, което би могло да се използва за разпознаване на валидни от невалидни имена на профили при изпращане на дълги пароли и използването на алгоритми за хеширане на пароли в сървъра. CVE-2016-6210.
• ssh (1), sshd (8): Фиксирайте наблюдаваната слабост в синхронизирането на CBC подложката. Обърнете внимание, че CBC шифроването е деактивирано по подразбиране и е включено само за съвместимост.
• ssh (1), sshd (8): Подобрете подреждането на проверката на MAC за кодиране на MAC (алтернативно) MAC (алтернативно) MAC транспортни MAC алгоритми за проверка на MAC преди декриптиране на всеки шифрова текст. Това премахва възможността от различия във времето да изтекат факти за текстовете, въпреки че такова изтичане не е известно.
• Нови / променени функции:
• ssh (1): Добавете опция ProxyJump и съответния флаг на командния ред -J, за да позволите опростена индирекция чрез един или повече SSH бастиони или "скок хостове".
• ssh (1): Добавете опция IdentityAgent, за да позволите да посочите конкретни контейнери за агенти, вместо да приемате такива от средата.
• ssh (1): Позволете на ExitOnForwardFailure и ClearAllForwardings да бъдат по избор преименувани при използване на ssh -W. (BZ # 2577)
• ssh (1), sshd (8): Изпълнете поддръжката на терминалния режим IUTF8 според draft-sgtatham-secsh-iutf8-00.
• ssh (1), sshd (8): Добавете поддръжка за допълнителни фиксирани групи Diffie-Hellman 2K, 4K и 8K от draft-ietf-curdle-ssh-kex-sha2-03.
• ssh-keygen (1), ssh (1), sshd (8): подписи SHA256 и SHA512 RSA в сертификати.
• ssh (1): Добавете директория за включване за ssh_config (5) файла.
• ssh (1): Позволяват UTF-8 символи в банери за предварителна автентикация, изпратени от сървъра. (BZ # 2058)
• Следните значими програмни грешки са били коригирани във версия 6.2:
• В scp (1) и sftp (1) предотвратявайте завинтване на настройките на терминала, като избягвате байтове, които не образуват символи ASCII или UTF-8.
• ssh (1), sshd (8): Намалете нивото syslog на някои относително прости събития от LOG_CRIT. (BZ # 2585)
• sshd (8): Refuse AuthenticationMethods = & quot; в конфигурации и да приемете AuthenticationMethods = всяко за стандартно поведение, което не изисква многократно удостоверяване. (BZ # 2398)
• sshd (8): Премахване на остарялата и заблуждаваща опция "ВЪЗМОЖНА ЗАКЪСНЯВАНЕ!" съобщение, когато DNS за препращане и обратно не съвпадат. (BZ # 2585)
• ssh (1): Затворете ControlPersist background process stderr, освен в режим на отстраняване на грешки или при влизане в syslog. (BZ # 1988)
• misc: Направете описание на ПРОТОКОЛА за директни-streamlocal@openssh.com отворени съобщения за канали, съвпадащи с разгънатия код. (BZ # 2529)
• ssh (1): Двупосочни записи LocalForward и RemoteForward за отстраняване на неизправности, когато са активирани ExitOnForwardFailure и канонизация на хоста. (BZ # 2562)
• sshd (8): Премахнете резервното от модулите към остарели "прайми" файл, който е отхвърлен през 2001 г. (bz # 2559)
• sshd_config (5): Правилно описание на UseDNS: засяга обработката на име на хост ssh за authorized_keys, notknown_hosts. (BZ # 2554)
• ssh (1): Фиксирайте удостоверяването, като използвате самотни ключове на сертификат в агент без съответни частни ключове на файловата система. (BZ # 2550)
• sshd (8): Изпратете pins на ClientAliveInterval, когато е зададена RekeyLimit, базирана на времето; предишните пакети за опазване на опасността не са били изпратени. (BZ # 2252)
• OpenNTPD 6.0
• Когато едно "ограничение" е зададен, опитайте всички върнати адреси, докато не успеете, а не първия върнат адрес.
• Успокоеното ограничение на грешката при ограниченията е пропорционално на броя на връстниците на NTP, за да се избегне постоянно възстановяване при наличие на лош NTP peer.
• Премахнаха забранената поддръжка на сензора за hotplug (4).
• Добавена е поддръжка за откриване на катастрофи в подпроцеси на ограничения.
• Премести изпълнението на ограниченията от процеса ntp в родителския процес, което позволява по-добро разделяне на привилегии, тъй като процесът на ntp може да бъде допълнително ограничен.
• Фиксирана висока употреба на процесора, когато мрежата е изключена.
• Фиксирани различни течове на памет.
• Превключен на RMS за изчисления на трептене.
• Унифицирани функции за регистриране с други базови програми на OpenBSD.
• Задайте MOD_MAXERROR, за да избегнете несъвместимото време, когато използвате ntp_adjtime.
• Коригиране на графичното заглавие с фиксиран HTTP Timestamp, за да се използва strptime (3) по по-преносим начин.
• Втвърдени TLS за ограничения ntpd (8), което позволява проверка на името на сървъра.
• LibreSSL 2.4.2
• Функции, видими от потребителя:
• Фиксирани са някои разбити линкове в страницата за инсталиране
• cert.pem е реорганизиран и синхронизиран с магазина за сертификати на Mozilla.
• Определяне на надеждността, коригиране на грешка при анализиране на някои ASN.1 елементи с размер над 16k.
• Извършиха шифровите пакети IETF ChaCha20-Poly1305.
• Въведете фиксирана парола от openssl (1), за да обработвате правилно ^ C.
• Подобрения на кода:
• Коригира проблем за съвместимост с nginx чрез добавяне на цел "build_sw".
• Променено е по подразбиране изпълнението на EVP_aead_chacha20_poly1305 (3) към версията на IETF, която вече е по подразбиране.
• Промяна на обработката на грешки в libtls, така че конфигурационните грешки да са по-видими.
• Добавена липса на обработка на грешки около bn_wexpand (3) повиквания.
• Добавени explicit_bzero (3) повиквания за освободени обекти ASN.1.
• Фиксирана функция X509_ * set_object за връщане на 0 при отказ на разпределение.
• Оттеглено вътрешно използване на EVP_ [Cipher | Encrypt | Decrypt] _Final.
• Отстранен е проблем, който не позволява алгоритъмът за подписване на DSA да се изпълнява в постоянно време, дори ако е зададен флагът BN_FLG_CONSTTIME.
• Фиксирани са няколко проблема в кода на OCSP, които могат да доведат до неправилно генериране и анализ на заявките на OCSP. Това отстранява липсата на проверка на грешките при анализа на времето при тези функции и гарантира, че само форматите GENERALIZEDTIME са приети за OCSP, според RFC 6960.
• Следните CVE са били коригирани:
• CVE-2016-2105-EVP_EncodeUpdate препълване.
• CVE-2016-2106-EVP_EncryptUpdate препълване.
• CVE-2016-2107-оплешивяване в AES-NI CBC MAC проверка.
• CVE-2016-2108-корупция на паметта в енкодера ASN.1.
• CVE-2016-2109-ASN.1 BIO прекомерно разпределение на паметта
• Портове и пакети:
• Нов инструмент proot (1) в дървото на пристанищата за изграждане на пакети в chroot.
• Много предварително създадени пакети за всяка архитектура:
• алфа: 7422
• amd64: 9433
• hppa: 6346
• i386: 9394
• mips64: 7921
• mips64el: 7767
• powerpc: 8318
• sparc64: 8570
• Някои акценти:
• Afl 2.19b
• Chromium 51.0.2704.106
• Emacs 21.4 и 24.5
• ССЗ 4.9.3
• GHC 7.10.3
• Gimp 2.8.16
• GNOME 3.20.2
• Отидете на 1.6.3
• Groff 1.22.3
• JDK 7u80 и 8u72
• KDE 3.5.10 и 4.14.3 (плюс основни актуализации на KDE4)
• LLVM / Clang 3.8.0
• LibreOffice 5.1.4.2
• Lua 5.1.5, 5.2.4 и 5.3.3
• MariaDB 10.0.25
• Моно 4.4.0.182
• Mozilla Firefox 45.2.0esr и 47.0.1
• Mozilla Thunderbird 45.2.0
• Mutt 1.6.2
• Node.js 4.4.5
• Ocaml 4.3.0
• OpenLDAP 2.3.43 и 2.4.44
• PHP 5.5.37, 5.6.23 и 7.0.8
• Postfix 3.1.1 и 3.2-20160515
• PostgreSQL 9.5.3
• Python 2.7.12, 3.4.5 и 3.5.2
• R 3.3.1
• Ruby 1.8.7.374, 2.0.0.648, 2.1.9, 2.2.5 и 2.3.1
• Rust 1.9.0-20160608
• Sendmail 8.15.2
• Sudo 1.8.17.1
• Tcl / Tk 8.5.18 и 8.6.4
• TeX Live 2015
• Vim 7.4.1467
• Xfce 4.12
• Както обикновено, постоянни подобрения в страниците с ръководства и друга документация.
• Системата включва следните основни компоненти от външни доставчици:
• Xenocara (въз основа на X.Org 7.7 с xserver 1.18.3 + пластири, FreeType 2.6.3, 2.11.1 fontconfig, Mesa 11.2.2, Xterm 322, xkeyboard-конфигурационния 2.18 и повече)
• GCC 4.2.1 (+ пластири) и 3.3.6 (+ пластири)
• Perl 5.20.3 (+ пластири)
• SQLite 3.9.2 (+ кръпки)
• NSD 4.1.10
• Нелиберализирани 1.5.9
• Ncurses 5.7
• Binutils 2.17 (+ пластири)
• Gdb 6.3 (+ пластири)
• Awk август 10, 2011 версия
• Експат 2.1.1

Какво е новото във версия 6.1:

• Нови / разширени платформи:
• ARMv7:
• Добавено е bootloader на EFI, ядрото се зарежда от FFS вместо FAT или EXT файлови системи, без U-Boot заглавки.
• Сега едно ядро ​​и ramdisk се използват за всички SoCs.
• Хардуерът се изброява динамично чрез дърво с плоски устройства (FDT) вместо чрез статични таблици, базирани на идентификационни номера на борда.
• Минималните инсталационни изображения включват U-Boot 2016.07 с поддръжка на полезни натоварвания на EFI.
• VAX:
• отстранени.
• Подобрена хардуерна поддръжка, включително:
• Нов драйвер bygpio (4) за GPIO контролера на Intel Bay Trail.
• Нов драйвер chvgpio (4) за GPIO контролера Intel Cherry View.
• Нов maxrtc (4) драйвер за часовника за реално време Maxim DS1307.
• Нов nvme (4) драйвер за интерфейса на хост контролера за не-летливи памети (NVMe).
• Нов pcfrtc (4) драйвер за часовника за реално време NXP PCF8523.
• Нов UMB (4) драйвер за модела за мобилен широколентов интерфейс (MBIM).
• Нов уре (4) драйвер за 10/100 USB Ethernet устройства, базирани на RealTek RTL8152.
• Нов учфу (4) драйвер за аудио / видео устройства за улавяне на базата на Fushicai USBTV007.
• Драйверът iwm (4) вече поддържа Intel Wireless 3165 и 8260 устройства и работи по-надеждно в ядрото RAMDISK.
• Поддръжката на I2C HID устройства с прекъсвания на сигнализирани GPIO бе добавена към dwiic (4).
• Поддръжката за по-големи ширини на шини, режими с висока скорост и DMA трансфери е добавена към sdmmc (4), rtsx (4), sdhc (4) и imxesdhc (4)
• Поддръжка на USB контролери, съвместими с EHCI и OHCI, на SoCs на Octeon II.
• Много драйвери за USB устройства са активирани на OpenBSD / octeon.
• Подобрена поддръжка за внедрявания на хардуер ACPI.
• Подобрена поддръжка за внедряването на ACPI 5.0.
• Сега криптирането на AES-NI се извършва без да се държи ключалката на ядрото.
• Подобрена поддръжка на AGP на машините PowerPC G5.
• Добавена е поддръжка за слота за SD карти в SoCs на Intel Bay Trail.
• Ичийският (4) драйвер сега пренебрегва прекъсването на SMBALERT #, за да предотврати прекъсване на буря с внедряване на BIOS.
• Проблемите с прикачването на устройството с драйвера на axen (4) са били коригирани.
• Водачът ral (4) е по-стабилен при натоварване с устройства RT2860.
• Проблемите с мъртвите клавиатури след възобновяване са били коригирани в драйвера pckbd (4).
• Driver rtsx (4) вече поддържа RTS522A устройства.
• Добавена е първоначална поддръжка за MSI-X.
• Поддръжка на MSI-X в драйвера виртио (4).
• Добавена е алтернатива за хардуерно DMA надхвърляне на драйвера за dc (4).
• Шофьорът на acpitz (4) сега завърта вентилатора след охлаждане, ако ACPI използва хистерезис за активно охлаждане.
• Шофьорът xhci (4) изпълнява правилно предаванията от BIOS-съвместим с xHCI.
• Към драйвера за wsmouse (4) е добавена поддръжка за мулти докосване.
• Драйверът uslcom (4) вече поддържа серийната конзола на безжичните контролери Aruba 7xxx.
• Шофьорът на re (4) сега работи около счупени светодиодни конфигурации в EEPROM APU1.
• Драйверът ehci (4) вече работи около проблеми с ATI USB контролерите (например SB700).
• Драйверът xen (4) вече поддържа конфигурация domU под Qubes OS.
• Подобрения в безжичните стекове на IEEE 802.11:
• Блокираната логика на HT блок ack получава буквата, която следва алгоритъма, даден по-подробно в спецификациите 802.11-2012.
• Драйверът на iwn (4) сега следи за промените в HT защита, докато е свързан с 11n AP.
• Безжичният стек и няколко драйвери използват по-агресивно RTS / CTS, за да избегнат смущенията от старите устройства и скритите възли.
• Командата netstat (1) -W вече показва информация за събития 802.11n.
• В режим "hostap" не използвайте отново идентификационните номера на възли, които все още са кеширани. Коригира проблем, при който точката за достъп, използваща ral (4) драйвер, ще се забие при 1 Mbps, тъй като отчитането на тарифите Tx се е случило на грешен обект на възел.
• Подобрения в общите мрежови стекове:
• Таблицата за маршрутизиране вече се основава на ART, което предлага по-бързо търсене.
• Броят на търсенето на маршрути за пакет е намален на 1 в маршрута за препращане.
• Приовото поле на VLAN заглавките вече е правилно настроено на всеки фрагмент от пакет IPv4, който излиза на интерфейс vlan (4).
• Активирано клониране на устройството за bpf (4). Това позволява на системата да има само един възел на bpf устройството в / dev, който обслужва всички потребители на bpf (до 1024).
• Опашката Tx на драйвера cnmac (4) вече може да бъде обработена успоредно на останалата част от ядрото.
• Пътят на входа на мрежата се изпълнява в контекст с конец.
• Надстройки на инсталатора:
• актуализиран списък с ограничени потребителски кодове
• install.sh и upgrade.sh се обединяват в install.sub
• актуализацията автоматично ще стартира sysmerge (8) в партиден режим преди fw_update (1)
• Въпросите и отговорите са записани във формат, който може да се използва като файл с отговори за използване от автоматичната инсталация (8)
• / usr / local е настроен на wxallowed по време на инсталиране
• Демонстриране на маршрути и други подобрения в мрежата за ползване:
• Добавете поддръжка на таблицата за маршрутизиране към rc.d (8) и rcctl (8).
• Нека nc (1) поддържа имена на услуги в допълнение към номерата на портове.
• Добавете флаговете TTL -M и -m към nc (1).
• Добавете поддръжка на AF_UNIX към tcpbench (1).
• Фиксирана регресия в rarpd (8). Демонът може да виси, ако дълго време е бил неактивен.
• Добавена е опцията llprio в ifconfig (8).
• Многобройните програми, които използват bpf (4), са модифицирани, за да се възползват от клонирането на bpf (4) устройства, като отворят / dev / bpf0, вместо да пренасочат устройства / dev / bpf *. Тези програми включват arp (8), dhclient (8), dhcpd (8), dhcrelay8, hostapd8, mopd8, npppd8, rarpd8, rbootd8 и tcpdump (8). Библиотеката libpcap също така е променена.
• Подобрения в сигурността:
• W ^ X се прилага строго по подразбиране; програмата може да я наруши само ако изпълнимият файл е маркиран с PT_OPENBSD_WXNEEDED и е разположен на файлова система, монтирана с опцията wxallowed mount (8). Тъй като все още има твърде много пристанища, които нарушават W ^ X, инсталаторът монтира / usr / local file system с wxallowed. Това позволява базовата система да бъде по-сигурна, докато / usr / local е отделна файлова система. Ако не използвате програми за нарушаване на W ^ X, помислете за ръчно отменяне на тази опция.
• Семейството функции на setjmp (3) сега прилага бисквитките XOR към стойностите на стека и връщането в jmpbuf на amd64, hppa, i386, mips64 и powerpc.
• Стимулиране на SROP: sigreturn (2) сега може да се използва само от сигналния трамплин, предоставен от ядрото, с "бисквитка" за откриване на опити за повторно използване.
• За да предотврати използването на повторното използване на код, rc (8) пренасочва libc.so при стартиране, поставяйки обектите в произволен ред.
• В семейството от функции на getpwnam (3) спирайте отварянето на базата данни в сянка по подразбиране.
• Позволява да се стартира tcpdump (8) -r без права на root.
• Премахнете систрацията.
• Премахване на поддръжката на емулация на.
• Премахнете поддръжката за опцията за потребителски мач.
• Кешът на TCP SYN reseeds случайно хеш функция от време на време. Това предотвратява нападателя да изчисли разпределението на хеш функцията с атака на времето.
• За да работи срещу нападенията срещу SYN насилие, администраторът може да промени размера на хеш масива сега. netstat (1) -s -p tcp показва съответната информация, за да настрои кеша SYN със sysctl (8) net.inet.tcp.
• Администраторът може да изисква права на root за свързване към някои TCP и UDP портове със sysctl (8) net.inet.tcp.rootonly и sysctl (8) net.inet.udp.rootonly.
• Премахнете показалеца за функция от структурата на данни mbuf (9) и използвайте индекс в масив от приемливи функции.
• Различни подобрения:
• Библиотеката с конец вече може да бъде заредена в процес с едно резбоване.
• Подобрено управление на символите и съответствие със стандартите в libc. Например, дефинирането на функцията open () няма да пречи на работата на fopen (3).
• Разделите PT_TLS сега се поддържат в първоначално заредения обект.
• Подобрена обработка на "без пътеки" и "празен път" в fts (3).
• В pcap (3) въведете функциите pcap_free_datalinks () и pcap_offline_filter ().
• Много корекции на бъгове и структурно почистване в библиотеката за редактиране (3).
• Премахване на древните функции dbm (3); ndbm (3) остава.
• Добавете ключовата дума setenv за по-мощно управление на околната среда в doas.conf (5).
• Добавете опции -g и -p към aucat.1 за позициониране по време.
• Презаписвайте audioctl (1) с по-прост потребителски интерфейс.
• Добавете опцията -F, за да инсталирате (1) fsync (2) файла, преди да го затворите.
• kdump (1) сега разтоварва pollfd структури.
• Подобрете различните детайли на ksh (1) POSIX.
• mknod (8) е пренаписан в стих (2), който е с приятен стил и поддържа създаването на няколко устройства наведнъж.
• Внедрете rcctl (8) да получите всичко и getdef всички.
• Изпълнете флага rcs (1) -I (интерактивно).
• В rcs (1) изпълнете Mdocdate заместване на ключови думи.
• В горната част (1) позволете да филтрирате аргументите на процеса, ако те се показват.
• Добавена е поддръжка на UTF-8 за фолд (1) и rev (1).
• По подразбиране активирайте UTF-8 в xterm (1) и pod2man (1).
• Филтрирайте не-ASCII символи в стена (1).
• Управлявайте постоянно променливата на средата COLUMNS в много програми.
• Опциите -c и -k позволяват да се предоставят клиентски сертификати за TLS за syslogd (8) на изпращащата страна. При това получаващата страна може да провери дали дневникът е автентичен. Имайте предвид, че syslogd все още няма тази функция за проверка.
• Когато клоговия буфер прелисти, syslogd ще напише съобщение в дневника, за да покаже, че някои от тях липсват.
• На OpenBSD / octeon е активирано буферирането на кеша на процесора за подобряване на производителността.
• pkg_add (1) и pkg_info (1) вече разбират понятието клон за облекчаване на избора на някои популярни пакети като python или php, например pkg_add python% 3.4, за да изберете клона 3.4 и използвайте pkg_info -zm получете размита малка обява с подбор, подходящ за pkg_add -l.
• fdisk (8) и pdisk (8) незабавно излизат, освен ако не премине специално характерно устройство
• st (4) правилно проследява текущия брой блокове за блокове с променлив размер
• fsck_ext2fs (8) работи отново
• обемът на softraid (4) може да бъде конструиран с дискове с размер на сектора, различен от 512 байта
• dhclient (8) DECLINE и изхвърля неизползваните ОФЕРТИ.
• dhclient (8) незабавно излиза, ако неговият интерфейс (например мост (4)) връща EAFNOSUPPORT при изпращане на пакет.
• httpd (8) връща 400 грешни заявки за заявки HTTP v0.9.
• Инициализацията на мързеливия възел на ffs2 избягва обработката на произволни дискови данни като инод
• fcntl (2) invocations в базовите програми използват idiom fcntl (n, F_GETFL) вместо fcntl (n, F_GETFL, 0)
• гнездо (2) и accept4 (2) invocations в базовите програми използват SOCK_NONBLOCK, за да се премахне нуждата от отделна fcntl (2).
• tmpfs не е разрешено по подразбиране
• семантиката на обещанието в ядрото (2) се подобри по много начини. Акценти включват: ново обещание, което позволява на заложените програми да задават атрибути, по-стриктното прилагане на обещанието recvfd и chroot (2) вече не е разрешено за заложени програми.
• бяха фиксирани редица грешки, свързани със заложния (2) (липсващи обещания, непредвидени промени в поведението, катастрофи), особено в gzip (1), nc (1), sed (1), skeyinit (1) и различни инструменти, свързани с диска, като disklabel (8) и fdisk (8).
• Грешки при изчисляването на размера на блока в аудио (4) драйвера са били фиксирани.
• Шофьорът usb (4) вече кешира доставчиците и идентификационните номера на продуктите. Коригира проблем, при който usbdevs (8), призован в цикъл, би причинил USB устройство за масово съхраняване, за да спре операцията.
• Шофьорите rsu (4) и ural (4) вече работят отново, след като са били случайно счупени в 5.9.
• OpenSMTPD 6.0.0
• Сигурност:
• Внедрете моделът fork + exec в smtpd (8).
• Коригирайте логически проблем в машината SMTP, която може да доведе до невалидно състояние и да доведе до катастрофа.
• Включете теч на файл-показалец, който може да доведе до изтощаване на ресурсите и да доведе до катастрофа.
• Използвайте автоматични DH параметри вместо фиксирани.
• Деактивирайте DHE по подразбиране, тъй като е изчислително скъп и потенциален DoS вектор.
• Следните подобрения бяха добавени във версия 6.1:
• Добавете опцията -r към smtpd (8) enqueuer за съвместимост с mailx.
• Добавете липсващата дата или идентификационния номер на съобщението, когато слушате в подавания порт.
• Прикрепете "smtpctl show queue" съобщавайки "невалиден" състояние на обвивката.
• Преработете формата на заглавката "Получено", така че частта TLS да не нарушава RFC.
• Увеличете броя на връзките, които може да установи локален адрес, и намалете забавянето между транзакциите в същата сесия.
• Коригирайте доставката на LMTP на сървъри, връщащи линии за продължаване.
• Подобрете още API за филтриране на експериментални филтри и поправете различни свързани с тях проблеми.
• Започнете да подобрявате и обединявате формата на съобщенията в дневника.
• Коригирайте няколко несъответствия в документацията и печатни грешки в страниците с инструменти.
• OpenSSH 7.3
• Сигурност:
• sshd (8): Намаляване на потенциалната атака при отказ на услуга срещу функцията на криптата (3) на системата чрез sshd (8). Нападателят може да изпрати много дълги пароли, които биха причинили прекомерно използване на CPU в криптата (3). sshd (8) сега отказва да приеме заявки за удостоверяване на пароли с дължина по-голяма от 1024 знака.
• sshd (8): Намаляване на разликите във времето при удостоверяване на паролата, което би могло да се използва за разпознаване на валидни от невалидни имена на профили при изпращане на дълги пароли и използването на алгоритми за хеширане на пароли в сървъра. CVE-2016-6210.
• ssh (1), sshd (8): Фиксирайте наблюдаваната слабост в синхронизирането на CBC подложката. Обърнете внимание, че CBC шифроването е деактивирано по подразбиране и е включено само за съвместимост.
• ssh (1), sshd (8): Подобрете подреждането на проверката на MAC за кодиране на MAC (алтернативно) MAC (алтернативно) MAC транспортни MAC алгоритми за проверка на MAC преди декриптиране на всеки шифрова текст. Това премахва възможността от различия във времето да изтекат факти за текстовете, въпреки че такова изтичане не е известно.
• Нови / променени функции:
• ssh (1): Добавете опция ProxyJump и съответния флаг на командния ред -J, за да позволите опростена индирекция чрез един или повече SSH бастиони или "скокове хостове".
• ssh (1): Добавете опция IdentityAgent, за да позволите да посочите конкретни контейнери за агенти, вместо да приемате такива от средата.
• ssh (1): Позволете на ExitOnForwardFailure и ClearAllForwardings да бъдат по избор преименувани при използване на ssh -W. (BZ # 2577)
• ssh (1), sshd (8): Изпълнете поддръжката на терминалния режим IUTF8 според draft-sgtatham-secsh-iutf8-00.
• ssh (1), sshd (8): Добавете поддръжка за допълнителни фиксирани групи Diffie-Hellman 2K, 4K и 8K от draft-ietf-curdle-ssh-kex-sha2-03.
• ssh-keygen (1), ssh (1), sshd (8): подписи SHA256 и SHA512 RSA в сертификати.
• ssh (1): Добавете директория за включване за ssh_config (5) файла.
• ssh (1): Позволяват UTF-8 символи в банери за предварителна автентикация, изпратени от сървъра. (BZ # 2058)
• Следните значими бъгове са били коригирани във версия 6.1:
• В scp (1) и sftp (1) предотвратявайте завинтване на настройките на терминала, като избягвате байтове, които не образуват символи ASCII или UTF-8.
• ssh (1), sshd (8): Намалете нивото syslog на някои относително прости събития от LOG_CRIT. (BZ # 2585)
• sshd (8): Refuse AuthenticationMethods = "" в конфигурациите и да приемете AuthenticationMethods = всички за поведението по подразбиране, което не изисква многократно удостоверяване. (BZ # 2398)
• sshd (8): Премахване на остарялата и заблуждаваща "ПОСЛЕДОВАТЕЛНО ПРОСЛЕДЯВАНЕ!" съобщение, когато DNS за препращане и обратно не съвпадат. (BZ # 2585)
• ssh (1): Затворете ControlPersist background process stderr, освен в режим на отстраняване на грешки или при влизане в syslog. (BZ # 1988)
• misc: Направете описание на ПРОТОКОЛА за директни-streamlocal@openssh.com отворени съобщения за канали, съвпадащи с разгънатия код. (BZ # 2529)
• ssh (1): Двупосочни записи LocalForward и RemoteForward за отстраняване на неизправности, когато са активирани ExitOnForwardFailure и канонизация на хоста. (BZ # 2562)
• sshd (8): Премахнете резервния файл от модула към остарелия файл "primes", който е бил отхвърлен през 2001 г. (bz # 2559)
• sshd_config (5): Правилно описание на UseDNS: засяга обработката на име на хост ssh за authorized_keys, notknown_hosts. (BZ # 2554)
• ssh (1): Фиксирайте удостоверяването, като използвате самотни ключове на сертификат в агент без съответни частни ключове на файловата система. (BZ # 2550)
• sshd (8): Изпратете pins на ClientAliveInterval, когато е зададена RekeyLimit, базирана на времето; предишните пакети за опазване на опасността не са били изпратени. (BZ # 2252)
• OpenNTPD 6.0
• Когато е зададено едно "ограничение", опитайте всички върнати адреси, докато не успеете, а не първия върнат адрес.
• Успокоеното ограничение на грешката при ограниченията е пропорционално на броя на връстниците на NTP, за да се избегне постоянно възстановяване при наличие на лош NTP peer.
• Премахнаха забранената поддръжка на сензора за hotplug (4).
• Добавена е поддръжка за откриване на катастрофи в подпроцеси на ограничения.
• Премести изпълнението на ограниченията от процеса ntp в родителския процес, което позволява по-добро разделяне на привилегии, тъй като процесът на ntp може да бъде допълнително ограничен.
• Фиксирана висока употреба на процесора, когато мрежата е изключена.
• Фиксирани различни течове на памет.
• Превключен на RMS за изчисления на трептене.
• Унифицирани функции за регистриране с други базови програми на OpenBSD.
• Задайте MOD_MAXERROR, за да избегнете несъвместимото време, когато използвате ntp_adjtime.
• Коригиране на графичното заглавие с фиксиран HTTP Timestamp, за да се използва strptime (3) по по-преносим начин.
• Втвърдени TLS за ограничения ntpd (8), което позволява проверка на името на сървъра.
• LibreSSL 2.4.2
• Функции, видими от потребителя:
• Фиксирани са някои разбити линкове в страницата за инсталиране
• cert.pem е реорганизиран и синхронизиран с магазина за сертификати на Mozilla.
• Определяне на надеждността, коригиране на грешка при анализиране на някои ASN.1 елементи с размер над 16k.
• Извършиха шифровите пакети IETF ChaCha20-Poly1305.
• Въведете фиксирана парола от openssl (1), за да обработвате правилно ^ C.
• Подобрения на кода:
• Коригира проблем за съвместимост с nginx чрез добавяне на цел "build_sw".
• Променено е по подразбиране изпълнението на EVP_aead_chacha20_poly1305 (3) към версията на IETF, която вече е по подразбиране.
• Промяна на обработката на грешки в libtls, така че конфигурационните грешки да са по-видими.
• Добавена липса на обработка на грешки около bn_wexpand (3) повиквания.
• Добавени explicit_bzero (3) повиквания за освободени обекти ASN.1.
• Фиксирана функция X509_ * set_object за връщане на 0 при отказ на разпределение.
• Оттеглено вътрешно използване на EVP_ [Cipher | Encrypt | Decrypt] _Final.
• Отстранен е проблем, който не позволява алгоритъмът за подписване на DSA да се изпълнява в постоянно време, дори ако е зададен флагът BN_FLG_CONSTTIME.
• Фиксирани са няколко проблема в кода на OCSP, които могат да доведат до неправилно генериране и анализ на заявките на OCSP. Това отстранява липсата на проверка на грешките при анализа на времето при тези функции и гарантира, че само форматите GENERALIZEDTIME са приети за OCSP, според RFC 6960.
• Следните CVE са били коригирани:
• CVE-2016-2105-EVP_EncodeUpdate препълване.
• CVE-2016-2106-EVP_EncryptUpdate препълване.
• CVE-2016-2107-оплешивяване в AES-NI CBC MAC проверка.
• CVE-2016-2108-корупция на паметта в енкодера ASN.1.
• CVE-2016-2109-ASN.1 BIO прекомерно разпределение на паметта
• Портове и пакети:
• Нов инструмент proot (1) в дървото на пристанищата за изграждане на пакети в chroot.
• Много предварително създадени пакети за всяка архитектура:
• алфа: 7422
• amd64: 9433
• hppa: 6346
• i386: 9394
• mips64: 7921
• mips64el: 7767
• powerpc: 8318
• sparc64: 8570
• Някои акценти:
• Afl 2.19b
• Chromium 51.0.2704.106
• Emacs 21.4 и 24.5
• ССЗ 4.9.3
• GHC 7.10.3
• Gimp 2.8.16
• GNOME 3.20.2
• Отидете на 1.6.3
• Groff 1.22.3
• JDK 7u80 и 8u72
• KDE 3.5.10 и 4.14.3 (плюс основни актуализации на KDE4)
• LLVM / Clang 3.8.0
• LibreOffice 5.1.4.2
• Lua 5.1.5, 5.2.4 и 5.3.3
• MariaDB 10.0.25
• Моно 4.4.0.182
• Mozilla Firefox 45.2.0esr и 47.0.1
• Mozilla Thunderbird 45.2.0
• Mutt 1.6.2
• Node.js 4.4.5
• Ocaml 4.3.0
• OpenLDAP 2.3.43 и 2.4.44
• PHP 5.5.37, 5.6.23 и 7.0.8
• Postfix 3.1.1 и 3.2-20160515
• PostgreSQL 9.5.3
• Python 2.7.12, 3.4.5 и 3.5.2
• R 3.3.1
• Ruby 1.8.7.374, 2.0.0.648, 2.1.9, 2.2.5 и 2.3.1
• Rust 1.9.0-20160608
• Sendmail 8.15.2
• Sudo 1.8.17.1
• Tcl / Tk 8.5.18 и 8.6.4
• TeX Live 2015
• Vim 7.4.1467
• Xfce 4.12
• Както обикновено, постоянни подобрения в страниците с ръководства и друга документация.
• Системата включва следните основни компоненти от външни доставчици:
• Xenocara (базиран на X.Org 7.7 с xserver 1.18.3 + patches, freetype 2.6.3, fontconfig 2.11.1, Mesa 11.2.2, xterm 322, xkeyboard-config 2.18 и повече)
• ССЗ 4.2.1 (+ пластири) и 3.3.6 (+ пластири)
• Perl 5.20.3 (+ пластири)
• SQLite 3.9.2 (+ кръпки)
• NSD 4.1.10
• Нелиберализирани 1.5.9
• Ncurses 5.7
• Binutils 2.17 (+ пластири)
• Gdb 6.3 (+ пластири)
• Awk август 10, 2011 версия
• Експат 2.1.1