OpenBSD

OpenBSD is een gratis project dat een multi-platform UNIX-achtig besturingssysteem levert dat draagbaar, efficiënt, veilig en gebaseerd is op het 4.4BSD-platform. Het is een krachtig serverproduct dat wereldwijd wordt gebruikt op honderdduizenden computers.

Het besturingssysteem is gratis beschikbaar om te downloaden via het speciale gedeelte (zie hierboven) als ISO-afbeeldingen of binaire pakketten waarmee gebruikers het via het netwerk kunnen installeren. De ISO-images kunnen op CD-schijven worden gebrand en kunnen direct worden opgestart vanuit het BIOS van de meeste pc's.

OpenBSD ondersteunt binaire emulatie van de meeste programma's van SVR4 (Solaris), FreeBSD, Linux, BSD, SunOS en HP-UX. Het kan op een groot aantal verschillende architecturen worden geïnstalleerd, waaronder i386, sparc64, alpha, m68k, sh, amd64, PowerPC, m88k, & nbsp; sparc, ARM, hppa, vax, mips64 en mips64el.

De CD-image wordt automatisch opgestart zonder gebruikersinteractie en zal hen vragen of ze het besturingssysteem handmatig willen installeren, upgraden of automatisch willen installeren, of naar een shell-prompt willen laten bladeren.

Handmatige of automatische installatie

Een standaard (lees: handmatige) installatie vereist dat gebruikers een toetsenbordindeling kiezen, de hostnaam instellen, een netwerkinterface kiezen en deze configureren met IPv4 en / of IPv6, evenals een nieuw wachtwoord instellen voor de root ( systeembeheerder) account.

Bovendien kunt u ervoor kiezen om de SSH- en NTP-services te starten wanneer het systeem wordt gestart, kies of u het X Window-systeem wilt gebruiken of niet, stel een gebruiker in, kies een tijdzone, partitioneer het schijfstation en installeer sets .

Van de meegeleverde softwarepakketten die beschikbaar zijn voor OpenBSD, kunnen we de GNOME-, KDE- en Xfce-desktopomgevingen vermelden, de MySQL-, PostgreSQL-, Postfix- en OpenLDAP-servers, de Mozilla Firefox-, Mozilla Thunderbird-, LibreOffice-, Emacs-, Vim- en Chromium-apps, evenals de programmeertalen PHP, Python, Ruby, Tcl / Tk, JDK, Mono en Go.

Samenvattend is OpenBSD een krachtig en veelgeprezen servergeoriënteerd BSD / UNIX-besturingssysteem dat ons voorziet van de modernste software, waaronder OpenSSH, OpenNTPD, OpenSMTPD, OpenBGPD, OpenIKED en mandoc.

Wat is nieuw in deze release:

• Verbeterde hardware-ondersteuning, waaronder:
• SMP-ondersteuning op OpenBSD / arm64-platforms.
• VFP- en NEON-ondersteuning op OpenBSD / armv7-platforms.
• Nieuw acrtc (4) stuurprogramma voor X-Powers AC100 audiocodec en Real Time Clock.
• Nieuwe axppmic (4) driver voor X-Powers AXP Power Management IC's.
• Nieuwe bcmrng (4) driver voor Broadcom BCM2835 / BCM2836 / BCM2837 willekeurige nummergenerator.
• Nieuwe bcmtemp (4) driver voor Broadcom BCM2835 / BCM2836 / BCM2837 temperatuurmonitor.
• Nieuwe bgw (4) driver voor Bosch bewegingssensor.
• Nieuw bwfm (4) -stuurprogramma voor Broadcom en Cypress FullMAC 802.11-apparaten (nog steeds experimenteel en standaard niet gecompileerd in de kernel)
• Nieuw efi (4) stuurprogramma voor EFI runtime-services.
• Nieuwe imxanatop (4) driver voor geïntegreerde i.MX6-regelaar.
• Nieuwe rkpcie (4) -driver voor Rockchip RK3399 Host / PCIe-bridge.
• Nieuwe sxirsb (4) driver voor Allwinner Reduced Serial Bus-controller.
• Nieuw sxitemp (4) stuurprogramma voor Allwinner-temperatuurmonitor.
• Nieuwe sxits (4) driver voor temperatuursensor op Allwinner A10 / A20 touchpad controller.
• Nieuwe sxitwi (4) driver voor tweedraadsbus gevonden op meerdere Allwinner SoC's.
• Nieuwe sypwr (4) -driver voor de Silergy SY8106A-regelaar.
• Ondersteuning voor Rockchip RK3328 SoCs is toegevoegd aan de drivers dwge (4), rkgrf (4), rkclock (4) en rkpinctrl (4).
• Ondersteuning voor Rockchip RK3288 / RK3328 SoCs is toegevoegd aan de driver rktemp (4).
• Ondersteuning voor Allwinner A10 / A20, A23 / A33, A80 en R40 / V40 SoC's is toegevoegd aan het stuurprogramma sxiccmu (4).
• Ondersteuning voor Allwinner A33, GR8 en R40 / V40 SoC's is toegevoegd aan de sxipio (4) -driver.
• Ondersteuning voor SAS3.5 MegaRAIDs is toegevoegd aan het stuurprogramma mfii (4).
• Ondersteuning voor Intel Cannon Lake en Ice Lake geïntegreerd Ethernet is toegevoegd aan de em (4) driver.
• cnmac (4) poorten zijn nu toegewezen aan verschillende CPU-kernen voor gedistribueerde interruptverwerking.
• Het stuurprogramma pms (4) detecteert en verwerkt nu resetaankondigingen.
• Op amd64 wordt Intel CPU-microcode geladen tijdens het opstarten en geïnstalleerd / bijgewerkt door fw_update (1).
• Ondersteuning van de sun4v hypervisor interrupt cookie-API, ondersteuning toevoegen voor SPARC T7-1 / 2/4-machines.
• Hibernate-ondersteuning is toegevoegd voor SD / MMC-opslag gekoppeld aan sdhc (4) -controllers.
• clang (1) wordt nu gebruikt als de systeemcompiler op armv7, en het is ook beschikbaar op sparc64.
• vmm (4) / vmd (8) verbeteringen:
• Voeg CD-ROM / DVD ISO-ondersteuning toe aan vmd (8) via vioscsi (4).
• vmd (8) maakt niet langer een onderliggende bridge-interface voor virtuele switches gedefinieerd in vm.conf (5).
• vmd (8) ontvangt switchinformatie (rdomain, enz.) van de onderliggende switchinterface in combinatie met instellingen in vm.conf (5).
• Time Stamp Counter (TSC) -ondersteuning in gast-VM's.
• Ondersteun ukvm / Solo5 unikernels in vmm (4).
• Gebruik geldige (maar niet vaak voorkomende) instructiecoderingen beter.
• Betere PAE-paging-ondersteuning voor 32-bit Linux gast-VM's.
• vmd (8) staat nu maximaal vier netwerkinterfaces toe in elke VM.
• Ondersteuning van onderbroken migratie en snapshot toevoegen aan vmm (4) voor AMD SVM / RVI-hosts.
• BREAK-opdrachten die over een pty (4) zijn verzonden, worden nu begrepen door vmd (8).
• Veel oplossingen voor foutafhandeling vmctl (8) en vmd (8).
• IEEE 802.11-verbeteringen voor draadloze stacks:
• De stuurprogramma's iwm (4) en iwn (4) zullen automatisch zwerven tussen toegangspunten die een ESSID delen. Het dwingen van het MAC-adres van een bepaald AP met de bssid-opdracht van ifconfig schakelt roaming uit.
• Automatisch geconfigureerde WEP / WPA-sleutels wissen wanneer een nieuwe ESSID voor het netwerk is geconfigureerd.
• Het vermogen voor userland om geconfigureerde WEP / WPA-sleutels uit de kernel te lezen, te verwijderen.
• Het stuurprogramma iwm (4) kan nu verbinding maken met netwerken met een verborgen SSID.
• USB-apparaten die worden ondersteund door het stuurprogramma athn (4) gebruiken nu een open-sourcefirmware en de hostap-modus werkt nu met deze apparaten.
• Algemene verbeteringen aan netwerkstacks:
• De netwerkstack werkt niet langer met de KERNEL_LOCK () wanneer IPsec is ingeschakeld.
• Verwerking van binnenkomende TCP / UDP-pakketten is nu gedaan zonder KERNEL_LOCK ().
• De socketverbindingstaak werkt zonder KERNEL_LOCK ().
• Opschonen en verwijderen van code in sys / netinet6 omdat autoconfiguratie nu in het gebruikersland wordt uitgevoerd.
• bridge (4) leden kunnen nu worden geblokkeerd om met elkaar te praten met de nieuwe beschermde optie.
• De functie pf-omleidingspakket is vereenvoudigd. De IP_DIVERTFL-socketoptie is verwijderd uit omleiding (4).
• Verschillende hoeken van pf-doorschakel / omleidingsantwoord zijn nu meer consistent.
• Dwing in pf (4) aan dat alle detectiepakketten voor buurmannen 255 hebben in hun IPv6-header hop-limietveld.
• Nieuwe set syncookies optie in pf.conf (5).
• Ondersteuning voor GRE over IPv6.
• Nieuw egre (4) stuurprogramma voor Ethernet via GRE tunnels.
• Ondersteuning voor de optionele GRE-sleutelheader en GRE-toetsentropie in gre (4) en egre (4).
• Nieuw nvgre (4) stuurprogramma voor netwerkvirtualisatie met behulp van generieke routering encapsulation.
• Ondersteuning voor het configureren van de Do Not Fragment-vlagpakketten ingekapseld door tunnelinterfaces.
• Verbeteringen van het installatieprogramma:
• als install.site of upgrade.site mislukt, stelt u de gebruiker op de hoogte en geeft u een foutmelding na het opslaan van rand.seed.
• CIDR-notatie toestaan ​​bij het invoeren van IPv4- en IPv6-adressen.
• reparatieselectie van een HTTP-mirror uit de lijst met mirrors.
• toestaan ​​'-' in gebruikersnamen.
• stel een vraag aan het einde van het installatie- / upgradeproces, zodat carriage-return de juiste actie veroorzaakt, bijvoorbeeld reboot.
• toon de shell-prompts van de modus (installeren of upgraden) zolang er geen hostnaam bekend is.
• correct detecteren welke interface de standaardroute heeft en of deze is geconfigureerd via DHCP.
• Zorg ervoor dat sets kunnen worden gelezen vanuit het prefetch-gebied.
• zorg ervoor dat URL-omleiding effectief is voor volledige installatie / upgrade.
• voeg de HTTP-proxy toe die wordt gebruikt bij het ophalen van sets naar rc.firsttime, waar fw_update en syspatch het kunnen vinden en gebruiken.
• voeg logica toe om RFC 7217 met SLAAC te ondersteunen.
• zorg ervoor dat IPv6 is geconfigureerd voor dynamisch gemaakte netwerkinterfaces zoals vlan (4).
• maak de juiste hostnaam wanneer zowel de domeinnamen als de zoekopties voor domeinen worden aangeboden in de DHCP-lease.
• Daemons en andere gebruikersnetwerkverbeteringen routeren:
• bgpctl (8) heeft een nieuwe ssv-optie die rib-invoer uitvoert als een enkele puntkomma-gescheiden zoals voor selectie vóór uitvoer.
• slaacd (8) genereert willekeurige maar stabiele IPv6 stateless autoconfiguratie-adressen volgens RFC 7217. Deze zijn standaard ingeschakeld in overeenstemming met RFC 8064.
• slaacd (8) volgt RFC 4862 door een kunstmatige beperking te verwijderen op voorvoegsels van / 64 met behulp van RFC 7217 (willekeurig maar stabiel) en RFC 4941 (privacy) stijlloze autoconfiguratie-adressen.
• ospfd (8) kan nu de metriek voor een route instellen, afhankelijk van de status van een interface.
• ifconfig (8) heeft een nieuwe staticarp-optie om ervoor te zorgen dat interfaces alleen op ARP-verzoeken kunnen antwoorden.
• ipsecctl (8) kan nu flow-outputs samenvouwen met dezelfde bron of bestemming.
• De optie -n in netstart (8) rotzooi niet langer met de standaardroute. Het is nu ook gedocumenteerd.
• Beveiligingsverbeteringen:
• Gebruik nog meer valssleuven op verschillende architecturen.
• Meer gebruik van .rodata voor constante variabelen in de verzamelbron.
• Stop met het gebruik van x86 & quot; repz ret & quot; in stoffige hoeken van de boom.
• Introduceer & quot; execpromises & quot; in gelofte (2).
• Het elfrdsetroot-hulpprogramma dat is gebruikt om ramdisks te bouwen en het rebound (8) -bewakingsproces maken nu gebruik van eed (2).
• Bereid je voor op de introductie van MAP_STACK tot mmap (2) na 6.3.
• Druk een klein stukje KARL-gekoppelde kerneltekst in de generator voor willekeurige getallen als entropie bij het opstarten.
• Plaats een kleine willekeurige opening boven aan de threadstapels, zodat aanvallers nog een andere berekening moeten uitvoeren voor hun ROP-werk.
• Beperking voor kwetsbaarheid bij meltdown voor Intel amd64 CPU's.
• OpenBSD / arm64 gebruikt nu kernel-paginatabelisolatie om Spectre variant 3 (Meltdown) -aanvallen te beperken.
• OpenBSD / armv7 en OpenBSD / arm64 spoelen nu de Branch Target Buffer (BTB) uit op processoren die speculatieve uitvoering uitvoeren om Spectre variant 2-aanvallen te beperken.
• pool_get (9) verstoort de volgorde van items op nieuw toegewezen pagina's, waardoor de kernelheap-lay-out moeilijker te voorspellen is.
• De systeemaanroep fktrace (2) is verwijderd.
• dhclient (8) verbeteringen:
• Parsing dhclient.conf (5) lekt niet langer uit SSID-reeksen, reeksen die te lang zijn voor de parseerbuffer of herhaalde reeksopties en opdrachten.
• Leases opslaan in dhclient.conf (5) wordt niet langer ondersteund.
• 'DENY' is niet langer geldig in dhclient.conf (5).
• dhclient.conf (5) en dhclient.leases (5) parseerfoutmeldingen zijn vereenvoudigd en verduidelijkt, met verbeterd gedrag in de aanwezigheid van onverwachte puntkomma's.
• Er wordt meer voor gezorgd dat alleen configuratie-informatie wordt gebruikt die met succes is geparseerd.
• '- n' is toegevoegd, waardoor dhclient (8) wordt afgesloten na het parseren van dhclient.conf (5).
• Standaardroutes in opties classless-static-routes (121) en classless-ms-static-routes (249) worden nu correct weergegeven in dhclient.leases (5) bestanden.
• Overschrijf het bestand dat is opgegeven met '-L' in plaats van het toe te voegen.
• Leases in dhclient.leases (5) bevatten nu een 'epoch'-kenmerk dat de tijd registreert waarop de lease werd aanvaard, en die wordt gebruikt om de juiste verlenging, rebinding en vervaltijden te berekenen.
• Niet langer zeuren over onderstrepingstekens in namen die RFC 952 schenden.
• Onvoorwaardelijk hostnaamgegevens verzenden bij het aanvragen van een leaseovereenkomst, waardoor de noodzaak voor dhclient.conf (5) bij de standaardinstallatie overbodig wordt.
• Wees standaard stil. '-q' is verwijderd en '-v' toegevoegd om uitgebreide logboekregistratie mogelijk te maken.
• Weiger dubbele aanbiedingen voor het gevraagde adres.
• Onvoorwaardelijk naar de achtergrond gaan na de time-out seconden van de link.
• Verminder logboekregistratie aanzienlijk als u stil bent, maar maak '-v' log alle foutopsporingsinformatie zonder dat u een aangepast uitvoerbaar bestand hoeft te compileren.
• Negeer de 'interface'-instructies in dhclient.leases (5) en ga ervan uit dat alle leases in het bestand betrekking hebben op de interface die wordt geconfigureerd.
• Geef de bron van de lease aan die gebonden is aan de interface.
• 'negeer', 'verzoek' en 'eis' verklaringen in dhclient.conf (5) voeg nu de opgegeven opties toe aan de relevante lijst in plaats van de lijst te vervangen.
• Elimineer een opstartrace die ertoe kan leiden dat dhclient (8) wordt afgesloten zonder de interface te configureren.
• Geassorteerde verbeteringen:
• Codeer reorganisatie en andere verbeteringen aan malloc (3) en vrienden om ze efficiënter te maken.
• Zorg bij het uitvoeren van slaap- of slaapstandbewerkingen dat alle bestandssystemen correct zijn gesynchroniseerd en schoon gemarkeerd, of dat ze niet perfect schoon kunnen worden op schijf (vanwege open + niet-gekoppelde bestanden) en markeer ze dan vies, zodat een mislukt CV / unhibernate voert gegarandeerd fsck uit (8).
• acme-client (1) autodetecteert de overeenkomst-URL en volgt 30x HTTP-omleidingen.
• Toegevoegd __cxa_thread_atexit () ter ondersteuning van moderne C ++ -toolkettingen.
• EVFILT_DEVICE-ondersteuning toegevoegd aan kqueue (2) voor het controleren van wijzigingen op drm (4) -apparaten.
• ldexp (3) behandelt nu het teken van de denormaantallen correct op mips64.
• Nieuwe sincos (3) functies in libm.
• fdisk (8) zorgt nu voor de geldigheid van MBR-partitieoffsets die tijdens het bewerken worden ingevoerd.
• fdisk (8) zorgt er nu voor dat de standaardwaarden binnen het geldige bereik liggen.
• minder (1) splitst nu alleen de omgevingsvariabele MINDER op '$'.
• minder (1) maakt geen onecht bestand meer wanneer '$' wordt aangetroffen in de eerste opdracht.
• softraid (4) valideert nu het aantal chunks bij het samenvoegen van een volume, zodat de metagegevens van de schijf en in het geheugen gesynchroniseerd zijn.
• disklabel (8) biedt nu altijd de mogelijkheid om de fragmentgrootte van een FFS-partitie te bewerken voordat de blokkering wordt aangeboden.
• disklabel (8) maakt nu het bewerken van het kenmerk cilinders / groep (cpg) mogelijk wanneer de blokgrootte van de partitie kan worden bewerkt.
• disklabel (8) detecteert nu ^ D en ongeldige invoer tijdens (R) esize-opdrachten.
• disklabel (8) detecteert nu underflows en overflows wanneer - / + operatoren worden gebruikt.
• disklabel (8) vermijdt nu een off-by-one bij het berekenen van het aantal cilinders in een vrije brok.
• disklabel (8) valideert de aangevraagde partitiegrootte nu met de grootte van de grootste vrije brok in plaats van de totale vrije ruimte.
• Ondersteuning voor het dumpen van USB-overdrachten via bpf (4).
• tcpdump (8) kan nu dumps van USB-overdrachten in het USBPcap-formaat begrijpen.
• De standaardprompts van csh (1), ksh (1) en sh (1) bevatten nu de hostnaam.
• Geheugentoewijzing in ksh (1) werd overgeschakeld van calloc (3) terug naar malloc (3), waardoor het gemakkelijker is om niet-geïnitialiseerd geheugen te herkennen. Dientengevolge werd een geschiedenis-gerelateerde bug in de emacs-bewerkingsmodus ontdekt en opgelost.
• Nieuwe script (1) -c optie om een ​​commando uit te voeren in plaats van een shell.
• Nieuwe grep (1) -m optie om het aantal overeenkomsten te beperken.
• Nieuwe uniq (1) -i optie voor niet-hoofdlettergevoelige vergelijking.
• De tekenreeks met tekenreeks (3) wordt niet langer gevalideerd bij het zoeken naar% -indelingen. Gebaseerd op een commit van android en volgens de meeste andere besturingssystemen.
• Verbeterde foutcontrole in vfwprintf (3).
• Veel basisprogramma's zijn gecontroleerd en gerepareerd voor oude bestandsdescriptors, waaronder cron (8), ftp (1), mandoc (1), openssl (1), ssh (1) en sshd (8).
• Verschillende bugfixes en verbeteringen in jot (1):
• Willekeurige lengtegrenzen voor de argumenten voor de -b, -s, -w opties zijn verwijderd.
• De specificatie van het% F-formaat wordt nu ondersteund en een fout in het% D-formaat is opgelost.
• Betere codedekking in regressietests.
• Verschillende bufferoverschrijdingen zijn verholpen.
• Het patch (1) hulpprogramma gaat nu beter om met git diffs die bestanden maken of verwijderen.
• pkg_add (1) heeft nu verbeterde ondersteuning voor HTTP (S) redirectors zoals cdn.openbsd.org.
• ftp (1) en pkg_add (1) ondersteunen nu de hervatting van de HTTPS-sessie voor een hogere snelheid.
• mandoc (1) -T ps uitvoer bestandsgrootte verminderd met meer dan 50%.
• syslogd (8) registreert of er waarschuwingen waren tijdens het opstarten.
• syslogd (8) stopte met loggen naar bestanden in een volledig bestandssysteem. Nu schrijft het een waarschuwing en gaat verder nadat ruimte beschikbaar is gemaakt.
• vmt (4) maakt nu klonen mogelijk en het maken van momentopnamen met alleen schijven van het uitvoeren van gasten.
• OpenSMTPD 6.0.4
• Voeg de optie spf walk toe aan smtpctl (8).
• Geassorteerde opschoning en verbeteringen.
• Talrijke handmatige paginareparaties en verbeteringen.
• OpenSSH 7.7
• Nieuwe / gewijzigde functies:
• Alle: voeg experimentele ondersteuning toe voor PQC XMSS-sleutels (Extended Hash-Based Signatures) op basis van het algoritme dat wordt beschreven in https://tools.ietf.org/html/draft-irtf-cfrg-xmss-hash-based-signatures -12 De XMSS-handtekeningcode is experimenteel en wordt niet standaard gecompileerd.
• sshd (8): voeg een & quot; rdomain & quot; toe criteria voor het sshd_config Zoekwoord Match om conditionele configuratie mogelijk te maken die afhankelijk is van het routeringsdomein waarop een verbinding werd ontvangen (momenteel ondersteund op OpenBSD en Linux).
• sshd_config (5): voeg een optionele rdomain-kwalificatie toe aan de ListenAddress-richtlijn om te kunnen luisteren op verschillende routeringsdomeinen. Dit wordt momenteel alleen ondersteund op OpenBSD en Linux.
• sshd_config (5): RDomain-instructie toevoegen om toe te staan ​​dat de geverifieerde sessie in een expliciet routeringsdomein wordt geplaatst. Dit wordt momenteel alleen ondersteund op OpenBSD.
• sshd (8): toevoegen & quot; vervaltijd & quot; optie voor geautoriseerde_sleutels om de verlopen toetsen toe te staan.
• ssh (1): voeg een BindInterface-optie toe om de uitgaande verbinding met het adres van een interface (in principe een bruikbaarder BindAddress) te binden.
• ssh (1): Expose device toegewezen aan tun / tap forwarding via een nieuwe% T-uitbreiding voor LocalCommand. Hiermee kan LocalCommand worden gebruikt om de interface voor te bereiden.
• sshd (8): Expose het apparaat dat is toegewezen voor tun / tap forwarding via een nieuwe omgevingsvariabele SSH_TUNNEL. Dit maakt automatische configuratie van de interface en de omringende netwerkconfiguratie automatisch op de server mogelijk.
• ssh (1) / scp (1) / sftp (1): Voeg URI-ondersteuning toe aan ssh, sftp en scp, bijvoorbeeld ssh: // gebruiker @ host of sftp: // gebruiker @ host / pad. Aanvullende verbindingsparameters die zijn beschreven in concept-ietf-secsh-scp-sftp-ssh-uri-04, zijn niet geïmplementeerd, omdat de ssh-vingerafdrukindeling in het concept de verouderde MD5-hash gebruikt en geen manier biedt om het andere algoritme te specificeren.
• ssh-keygen (1): laat geldigheidsintervallen van het certificaat toe die alleen een start- of een stoptijd opgeven (in plaats van beide of geen van beide).
• sftp (1): Sta & quot; cd & quot; toe en & quot; lcd & quot; opdrachten zonder expliciet padargument. lcd zal zoals gebruikelijk veranderen in de homedirectory van de lokale gebruiker. cd zal veranderen naar de startmap voor sessie (omdat het protocol geen mogelijkheid biedt om de thuismap van de externe gebruiker te verkrijgen). BZ # 2760
• sshd (8): Wanneer u een config-test uitvoert met sshd -T, hoeft u alleen de attributen te gebruiken die feitelijk worden gebruikt in Match-criteria in plaats van (een onvolledige lijst van) alle criteria.
• De volgende belangrijke fouten zijn in deze versie opgelost:
• ssh (1) / sshd (8): Controleer strenger handtekeningsoorten tijdens sleuteluitwisseling tegen wat werd onderhandeld. Voorkomt downgraden van RSA-handtekeningen gemaakt met SHA-256/512 naar SHA-1.
• sshd (8): herstel ondersteuning voor client die een protocolversie van & quot; 1.99 & quot; (geeft aan dat ze bereid zijn om zowel SSHv1 als SSHv2 te accepteren). Dit werd in OpenSSH 7.6 verbroken tijdens het verwijderen van SSHv1-ondersteuning. BZ # 2810
• ssh (1): Waarschuw wanneer de agent een ssh-rsa (SHA1) -handtekening retourneert wanneer een rsa-sha2-256 / 512-handtekening is aangevraagd. Deze voorwaarde is mogelijk wanneer een oude of niet-OpenSSH-agent in gebruik is. BZ # 2799
• ssh-agent (1): Fix-regressie introduceren in 7.6 waardoor ssh-agent fataal werd afgesloten als een ongeldig handtekeningverzoekbericht werd gepresenteerd.
• sshd_config (5): Accepteer ja / nee-vlag-opties hoofdletterongevoelig, zoals al lang het geval is in ssh_config (5). BZ # 2664
• ssh (1): Verbeter foutrapportage voor fouten tijdens de verbinding. Onder sommige omstandigheden werden misleidende fouten getoond. BZ # 2814
• ssh-keyscan (1): optie -D toevoegen om resultaten rechtstreeks in SSHFP-indeling af te kunnen drukken. BZ # 2821
• regress tests: fix PuTTY interop test verbroken in de SSHv1 verwijdering van de laatste release. BZ # 2823
• ssh (1): compatibiliteitsoplossing voor sommige servers die de verbinding ten onrechte laten vervallen wanneer de IUTF8 (RFC8160) optie wordt verzonden.
• scp (1): RemoteCommand en RequestTTY uitschakelen in de ssh-sessie gestart door scp (sftp deed dit al.)
• ssh-keygen (1): Weigeren om een ​​certificaat te maken met een onbruikbaar aantal principals.
• ssh-keygen (1): Fatally exit als ssh-keygen niet in staat is om alle openbare sleutels te schrijven tijdens het genereren van sleutels. Voorheen negeerde het stilzwijgend fouten bij het schrijven van de opmerking en het beëindigen van de nieuwe regel.
• ssh (1): wijzig geen hostname-argumenten die adressen zijn door ze automatisch naar kleine letters te forceren. In plaats daarvan kunnen ze worden geanonimiseerd om dubbelzinnigheden (bijvoorbeeld :: 0001 = & gt; :: 1) op te lossen voordat ze worden vergeleken met bekende_hosts. BZ # 2763
• ssh (1): accepteer geen rommel na & quot; yes & quot; of & quot; nee & quot; antwoorden op hostkey-prompts. BZ # 2803
• sftp (1): Laat sftp een waarschuwing afdrukken over de netheid van de shell wanneer het decoderen van het eerste pakket mislukt, wat meestal wordt veroorzaakt door shells die de stdout van niet-interactieve startups vervuilen. BZ # 2800
• ssh (1) / sshd (8): schakel timers in pakketcode van het gebruik van wandkloktijd in monotone tijd, zodat de pakketlaag beter functioneert over een klokstap en mogelijke gehele overlopen tijdens stappen wordt vermeden.
• Talrijke handmatige paginareparaties en verbeteringen.
• LibreSSL 2.7.2
• Ondersteuning toegevoegd voor veel OpenSSL 1.0.2 en 1.1 API's, gebaseerd op observaties van real-world gebruik in applicaties. Deze worden parallel aan bestaande OpenSSL 1.0.1-API's geïmplementeerd - wijzigingen in de zichtbaarheid zijn nog niet aangebracht in bestaande structuren, waardoor code die is geschreven voor oudere OpenSSL-API's kan blijven werken.
• Uitgebreide correcties, verbeteringen en toevoegingen aan de API-documentatie, inclusief nieuwe openbare API's van OpenSSL zonder eerdere documentatie.
• Ondersteuning toegevoegd voor automatische bibliotheekinitialisatie in libcrypto, libssl en libtls. Ondersteuning voor pthread_once of een compatibel equivalent is nu vereist voor het doelbesturingssysteem. Als neveneffect is minimale Windows-ondersteuning Vista of hoger.
• Meer pakketbehandelingsmethoden geconverteerd naar CBB, waardoor de veerkracht verbetert bij het genereren van TLS-berichten.
• Afgeronde TLS-uitbreiding voor herschrijven, waardoor de consistentie van controles voor misvormde en dubbele extensies verbetert.
• Rewrote ASN1_TYPE_ {get, set} _octetstring () met behulp van sjabloon ASN.1. Hiermee wordt het laatste resterende gebruik van de oude M_ASN1_ * -macro's (asn1_mac.h) verwijderd uit de API die moet blijven bestaan.
• Ondersteuning toegevoegd voor het hervatten van de sessie aan de client in libtls. Een libtls-client kan een descriptor van een sessiebestand opgeven (een regulier bestand met het juiste eigendom en rechten) en libtls kan het lezen en schrijven van sessiegegevens in TLS-handshakes beheren.
• Verbeterde ondersteuning voor strikte afstemming op ARMv7-architecturen, waarbij conditionele montage in die gevallen mogelijk is.
• Een geheugenlek in libtls verholpen bij het hergebruik van een tls_config.
• Meer DTLS-ondersteuning samengevoegd in het normale TLS-codepad en gedupliceerde code verwijderd.
• Poorten en pakketten:
• dpb (1) en normale poorten (7) kunnen nu van hetzelfde aparte privilege-model genieten door PORTS_PRIVSEP = Ja
in te stellen
• Veel vooraf gebouwde pakketten voor elke architectuur:
• aarch64: 7990
• alpha: 1
• amd64: 9912
• arm: XXXX
• hppa: XXXX
• i386: 9861
• mips64: 8149
• mips64el: XXXX
• powerpc: XXXX
• sh: 1
• sparc64: XXXX
• Enkele hoogtepunten:
• AFL 2.52b
• CMake 3.10.2
• Chromium 65.0.3325.181
• Emacs 21.4 en 25.3
• GCC 4.9.4
• GHC 8.2.2
• Gimp 2.8.22
• GNOME 3.26.2
• Ga naar 1.10
• Groff 1.22.3
• JDK 8u144
• KDE 3.5.10 en 4.14.3 (plus kernupdates KDE4)
• LLVM / Clang 5.0.1
• LibreOffice 6.0.2.1
• Lua 5.1.5, 5.2.4 en 5.3.4
• MariaDB 10.0.34
• Mozilla Firefox 52.7.3esr en 59.0.2
• Mozilla Thunderbird 52.7.0
• Mutt 1.9.4 en NeoMutt 20180223
• Node.js 8.9.4
• Ocaml 4.03.0
• OpenLDAP 2.3.43 en 2.4.45
• PHP 5.6.34 en 7.0.28
• Postfix 3.3.0 en 3.4-20180203
• PostgreSQL 10.3
• Python 2.7.14 en 3.6.4
• R 3.4.4
• Ruby 2.3.6, 2.4.3 en 2.5.0
• Rust 1.24.0
• Sendmail 8.16.0.21
• SQLite3 3.22.0
• Sudo 1.8.22
• Tcl / Tk 8.5.19 en 8.6.8
• TeX Live 2017
• Vim 8.0.1589
• Xfce 4.12
• Zoals gewoonlijk, gestage verbeteringen in handleidingen en andere documentatie.
• Het systeem bevat de volgende belangrijke componenten van externe leveranciers:
• Xenocara (gebaseerd op X.Org 7.7 met xserver 1.19.6 + patches, freetype 2.8.1, fontconfig 2.12.4, Mesa 13.0.6, xterm 330, xkeyboard-config 2.20 en meer)
• LLVM / Clang 5.0.1 (+ patches)
• GCC 4.2.1 (+ patches) en 3.3.6 (+ patches)
• Perl 5.24.3 (+ patches)
• NSD 4.1.20
• Niet geconsolideerd 1.6.8
• Ncurses 5,7
• Binutils 2.17 (+ patches)
• Gdb 6.3 (+ patches)
• Awk 10 augustus 2011-versie
• Expat 2.2.5

Wat is nieuw in versie 6.2:

• Nieuwe / uitgebreide platforms:
• ARMv7:
• EFI-bootloader toegevoegd, kernels worden nu geladen vanuit FFS in plaats van FAT- of EXT-bestandssystemen, zonder U-Boot-headers.
• Een enkele kernel en ramdisk worden nu voor alle SoC's gebruikt.
• Hardware wordt dynamisch opgesomd via een gefilterde apparaatstructuur (FDT) in plaats van via statische tabellen op basis van boord-ID-nummers.
• Miniroot-installerafbeeldingen bevatten U-Boot 2016.07 met ondersteuning voor EFI-payloads.
• VAX:
• verwijderd.
• Verbeterde hardware-ondersteuning, waaronder:
• Nieuwe bytgpio (4) driver voor de Intel Bay Trail GPIO-controller.
• Nieuw chvgpio (4) stuurprogramma voor de Intel Cherry View GPIO-controller.
• Nieuw maxrtc (4) stuurprogramma voor de realtime klok van Maxim DS1307.
• Nieuwe nvme (4) -driver voor de hostcontrollerinterface van de Non-Volatile Memory Express (NVMe).
• Nieuwe pcfrtc (4) driver voor de NXP PCF8523 real-time klok.
• Nieuwe umb (4) -stuurprogramma voor het Mobile Broadband Interface Model (MBIM).
• Nieuw ure (4) stuurprogramma voor op RealTek RTL8152 gebaseerde 10/100 USB Ethernet-apparaten.
• Nieuw utvfu (4) stuurprogramma voor audio / video-opnameapparaten op basis van de Fushicai USBTV007.
• Het stuurprogramma iwm (4) ondersteunt nu Intel Wireless 3165- en 8260-apparaten en werkt betrouwbaarder in RAMDISK-kernels.
• Ondersteuning voor I2C HID-apparaten met door GPIO gesignaleerde interrupts is toegevoegd aan dwiic (4).
• Ondersteuning voor grotere busbreedten, hoge snelheidsmodi en DMA-overdrachten is toegevoegd aan sdmmc (4), rtsx (4), sdhc (4) en imxesdhc (4).
• Ondersteuning voor EHCI en OHCI-compatibele USB-controllers op Octeon II SoC's.
• Veel USB-apparaatstuurprogramma's zijn ingeschakeld op OpenBSD / octeon.
• Verbeterde ondersteuning voor door hardware verminderde ACPI-implementaties.
• Verbeterde ondersteuning voor ACPI 5.0-implementaties.
• AES-NI-crypto is nu gereed zonder de kernelslot vast te houden.
• Verbeterde AGP-ondersteuning op PowerPC G5-machines.
• Ondersteuning toegevoegd voor de SD-kaartsleuf in Intel Bay Trail SoC's.
• De ichiic (4) -stuurprogramma negeert nu de SMBALERT # -onderbreking om een ​​interruptie storm met buggy BIOS-implementaties te voorkomen.
• Problemen met apparaatbijlagen met het stuurprogramma axen (4) zijn opgelost.
• De ral (4) -driver is stabieler onder belasting met RT2860-apparaten.
• Problemen met dode toetsenborden na hervatten zijn opgelost in het stuurprogramma pckbd (4).
• De rtsx (4) -driver ondersteunt nu RTS522A-apparaten.
• De eerste ondersteuning voor MSI-X is toegevoegd.
• Ondersteuning van MSI-X in de driver virtio (4).
• Er is een oplossing toegevoegd voor hardware-DMA-overschrijdingen naar de dc (4) -driver.
• De acpitz (4) -driver draait nu de ventilator na het koelen omlaag als ACPI hysteresis gebruikt voor actieve koeling.
• De xhci (4) -driver voert nu handoff uit een xHCI-geschikt BIOS correct uit.
• Ondersteuning voor multi-touch invoer is toegevoegd aan de wsmouse (4) driver.
• De uslcom (4) -driver ondersteunt nu de seriële console van draadloze 7xxx-controllers op Aruba.
• De re (4) -driver werkt nu rond gebroken LED-configuraties in APU1 EEPROMs.
• De ehci (4) -driver werkt nu rond problemen met ATI USB-controllers (bijvoorbeeld SB700).
• De xen (4) -driver ondersteunt nu domU-configuratie onder Qubes OS.
• IEEE 802.11-verbeteringen voor draadloze stacks:
• De HT-blok-ack-ontvangstbufferlogica volgt het algoritme in de specificatie 802.11-2012 van naderbij.
• De iwn (4) -driver houdt nu HT-beschermingswijzigingen bij terwijl deze is gekoppeld aan een 11n AP.
• De draadloze stack en verschillende stuurprogramma's maken agressiever gebruik van RTS / CTS om storing door verouderde apparaten en verborgen knooppunten te voorkomen.
• Het commando netstat (1) -W toont nu informatie over 802.11n-gebeurtenissen.
• Gebruik in de hostap-modus geen associatie-ID's van knooppunten die nog in de cache zijn opgeslagen. Lost een probleem op waarbij een toegangspunt dat het ral (4) -stuurprogramma gebruikt vast zou komen te zitten op 1 Mbps omdat Tx-snelheidsaccounting plaatsvond op het verkeerde knooppuntobject.
• Algemene verbeteringen aan netwerkstacks:
• De routeringstabel is nu gebaseerd op ART en biedt een snellere opzoekactie.
• Het aantal route-opzoekingen per pakket is teruggebracht tot 1 in het doorstuurpad.
• Het prio-veld op VLAN-headers is nu correct ingesteld op elk fragment van een IPv4-pakket dat uit gaat op een vlan (4) -interface.
• Ingeschakeld apparaatklonen voor bpf (4). Hierdoor kan het systeem slechts één bpf-apparaatknooppunt in / dev hebben dat alle bpf-gebruikers ondersteunt (tot 1024).
• De Tx-wachtrij van het cnmac (4) -stuurprogramma kan nu parallel met de rest van de kernel worden verwerkt.
• Het netwerkinvoerpad wordt nu in threadcontext uitgevoerd.
• Verbeteringen van het installatieprogramma:
• bijgewerkte lijst met beperkte gebruikerscodes
• install.sh en upgrade.sh samengevoegd tot install.sub
• update voert sysmerge (8) automatisch uit in batch-modus vóór fw_update (1)
• vragen en antwoorden worden vastgelegd in een indeling die kan worden gebruikt als een antwoordbestand voor gebruik door autoinstall (8)
• / usr / local is ingesteld op wxallowed during install
• Daemons en andere gebruikersnetwerkverbeteringen routeren:
• Voeg routetabelondersteuning toe aan rc.d (8) en rcctl (8).
• Laat nc (1) naast poortnummers ook servicenamen ondersteunen.
• Voeg -M en -m TTL-vlaggen toe aan nc (1).
• Voeg AF_UNIX-ondersteuning toe aan tcpbench (1).
• Fixed a regression in rarpd (8). De daemon kan vastlopen als deze lange tijd niet wordt gebruikt.
• Llprio-optie toegevoegd in ifconfig (8).
• Meerdere programma's die bpf (4) gebruiken, zijn aangepast om voordeel te halen uit bpf (4) apparaatklonen door / dev / bpf0 te openen in plaats van door / dev / bpf * -apparaten te lussen. Deze programma's bevatten arp (8), dhclient (8), dhcpd (8), dhcrelay (8), hostapd (8), mopd (8), npppd (8), rarpd (8), rbootd (8) en tcpdump (8). De libpcap-bibliotheek is ook dienovereenkomstig aangepast.
• Beveiligingsverbeteringen:
• W ^ X wordt nu standaard strikt gehandhaafd; een programma kan het alleen overtreden als het uitvoerbare bestand is gemarkeerd met PT_OPENBSD_WXNEEDED en zich bevindt op een bestandssysteem dat is gemount met de optie wxallowed mount (8). Omdat er nog steeds te veel poorten zijn die W ^ X schenden, koppelt het installatieprogramma het / usr / local-bestandssysteem met wxallow. Dit maakt het basissysteem veiliger zolang / usr / local een afzonderlijk bestandssysteem is. Als u geen W ^ X-programma's gebruikt, overweeg dan om die optie handmatig in te trekken.
• De setjmp (3) familie van functies past nu XOR-cookies toe om stack-en return-adreswaarden in de jmpbuf op amd64, hppa, i386, mips64 en powerpc.
• SROP-beperking: sigreturn (2) kan nu alleen worden gebruikt door de kernel geleverde signaal-trampoline, met een cookie om pogingen om het opnieuw te gebruiken te detecteren.
• Om exploits voor hergebruik van code te ontmoedigen, linkt rc (8) libc.so opnieuw aan het opstarten en plaatst de objecten in een willekeurige volgorde.
• Stop in de familie getpwnam (3) van functies standaard de schaduwdatabase.
• Toestaan ​​dat tcpdump (8) -r wordt gestart zonder rootprivileges.
• Systrace verwijderen.
• Ondersteuning van Linux-emulatie verwijderen.
• Ondersteuning voor de usermount-optie verwijderen.
• De TCP SYN-cache herhaalt zijn willekeurige hashfunctie van tijd tot tijd. Dit voorkomt dat een aanvaller de verdeling van de hashfunctie berekent met een timingaanval.
• Om tegen overstromingen met SYN te werken, kan de beheerder de grootte van de hash-array nu wijzigen. netstat (1) -s -p tcp toont de relevante informatie voor het afstemmen van de SYN-cache met sysctl (8) net.inet.tcp.
• De beheerder kan rootrechten vereisen voor binding aan sommige TCP- en UDP-poorten met sysctl (8) net.inet.tcp.rootonly en sysctl (8) net.inet.udp.rootonly.
• Verwijder een functiewijzer uit de gegevensstructuur van mbuf (9) en gebruik in plaats hiervan een index in een reeks acceptabele functies.
• Geassorteerde verbeteringen:
• De threadbibliotheek kan nu worden geladen in een proces met één thread.
• Verbeterde verwerking van symbolen en naleving van standaarden in libc. Bijvoorbeeld, het definiëren van een open () functie zal niet langer interfereren met de werking van fopen (3).
• PT_TLS-secties worden nu ondersteund in het aanvankelijk geladen object.
• Verbeterde verwerking van & quot; geen paden & quot; en & quot; leeg pad & quot; in fts (3).
• Geef in pcap (3) de functies pcap_free_datalinks () en pcap_offline_filter ().
• Veel bugfixes en structurele opschoning in de editline (3) bibliotheek.
• Oude dbm (3) -functies verwijderen; ndbm (3) blijft.
• Voeg setenv-sleutelwoord toe voor een krachtigere omgang met de omgeving in doas.conf (5).
• Voeg -g en -p opties toe aan aucat.1 voor tijdpositionering.
• Herschrijf audioctl (1) met een eenvoudigere gebruikersinterface.
• Voeg -F optie toe om het bestand te installeren (1) naar fsync (2) alvorens het te sluiten.
• kdump (1) dumpt nu pollfd-structuren.
• Verbeter verschillende details van ksh (1) POSIX-compliance.
• mknod (8) herschreven in een belofte (2) -vriendelijke stijl en om het maken van meerdere apparaten tegelijkertijd te ondersteunen.
• Implementeer rcctl (8) haal alles op en download alles.
• Implementeer de rcs (1) -I (interactief) vlag.
• Voer in rcs (1) Mdocdate-trefwoordsubstitutie uit.
• Stel in de bovenste (1) de procesargumenten in als ze worden weergegeven.
• UTF-8-ondersteuning toegevoegd om te vouwen (1) en rev (1).
• Schakel UTF-8 standaard in xterm (1) en pod2man (1) in.
• Filter niet-ASCII-tekens in wall (1).
• Beheer de COLUMNS-omgevingsvariabele consequent in veel programma's.
• De opties -c en -k staan ​​toe om TLS-clientcertificaten voor syslogd (8) aan de verzendende kant te verstrekken. Daarmee kan de ontvangende partij verifiëren of logberichten authentiek zijn. Merk op dat syslogd deze vinkfunctie nog niet heeft.
• Wanneer de klog-buffer overloopt, schrijft syslogd een logbericht om aan te geven dat sommige vermeldingen ontbreken.
• Op OpenBSD / octeon is CPU-cache-schrijfbuffering ingeschakeld om de prestaties te verbeteren.
• pkg_add (1) en pkg_info (1) begrijpen nu een notie van branch om selectie van enkele populaire pakketten zoals python of php te vergemakkelijken, zeg bijvoorbeeld pkg_add python% 3.4 om de 3.4 branch te selecteren en pkg_info -zm te gebruiken om een fuzzy-lijst met branchenselectie krijgen die geschikt is voor pkg_add -l.
• fdisk (8) en pdisk (8) worden onmiddellijk afgesloten, tenzij een speciaal tekenapparaat is doorgegeven
• st (4) traceert correct de huidige bloktelling voor blokken van variabele grootte
• fsck_ext2fs (8) werkt weer
• softraid (4) volumes kunnen worden geconstrueerd met schijven met een andere sectorgrootte dan 512 bytes
• dhclient (8) DECLINE's en discards ongebruikte AANBIEDINGEN.
• dhclient (8) wordt onmiddellijk afgesloten als de interface (bijvoorbeeld een brug (4)) EAFNOSUPPORT retourneert wanneer een pakket wordt verzonden.
• httpd (8) retourneert 400 Bad Request for HTTP v0.9 requests.
• ffs2's luie knoopinitialisatie vermijdt het behandelen van willekeurige schijfgegevens als een inode
• fcntl (2) aanroepingen in basisprogramma's gebruiken het idioom fcntl (n, F_GETFL) in plaats van fcntl (n, F_GETFL, 0)
• socket (2) en accept4 (2) aanroepingen in basisprogramma's gebruiken SOCK_NONBLOCK om de noodzaak voor een afzonderlijke fcntl (2) te elimineren.
• tmpfs niet standaard ingeschakeld
• de in-kernel semantiek van eed (2) is op verschillende manieren verbeterd. Hoogtepunten zijn onder meer: ​​een nieuwe chown-belofte die beloofde programma's toestaat om setugid-kenmerken in te stellen, een strengere handhaving van de recvfd-belofte en chroot (2) is niet langer toegestaan ​​voor beloofde programma's.
• een aantal van de gelofte (2) -gerelateerde bugs (ontbrekende beloften, onbedoelde gedragsveranderingen, crashes) werden verholpen, met name in gzip (1), nc (1), sed (1), skeyinit (1), stty (1) en verschillende schijfgerelateerde hulpprogramma's, zoals disklabel (8) en fdisk (8).
• Foutberekeningen voor de berekening van de fouten in de audio (4) zijn opgelost.
• De usb (4) -driver slaat nu leverancier- en product-ID's in de cache op. Lost een probleem op waarbij usbdevs (8) een lus inroepen zou ertoe leiden dat een USB-apparaat voor massaopslag de bewerking stopt.
• De rsu (4) en ural (4) stuurprogramma's werken nu weer nadat ze per ongeluk in 5.9 zijn verbroken.
• OpenSMTPD 6.0.0
• Beveiliging:
• Implementeer het fork + exec-patroon in smtpd (8).
• Los een logisch probleem op in de SMTP-statusmachine die tot een ongeldige status kan leiden en een crash tot gevolg kan hebben.
• Sluit een lek in de bestandspointer aan dat kan leiden tot uitputting van bronnen en kan leiden tot een crash.
• Gebruik automatische DH-parameters in plaats van vaste parameters.
• Schakel DHE standaard uit, omdat het rekenkundig duur is en een potentiële DoS-vector.
• De volgende verbeteringen zijn aangebracht in versie 6.2:
• Voeg de optie -r toe aan de smtpd (8) enqueuer voor compatibiliteit met mailx.
• Voeg ontbrekende datum of bericht-id toe wanneer u luistert op de verzendpoort.
• Fix & quot; smtpctl showwachtrij & quot; rapportage & quot; ongeldig & quot; envelopstatus.
• Werk het formaat van het & quot; Received & quot; header zodat het TLS-onderdeel de RFC niet schendt.
• Vergroot het aantal verbindingen dat een lokaal adres mag maken en verlaag de vertraging tussen transacties in dezelfde sessie.
• LMTP-levering aan servers die continuïteitsregels retourneren oplossen
• Verdere verbetering van de nog experimentele filter-API en verhelpen van verschillende gerelateerde problemen.
• Beginnen met het verbeteren en verenigen van het formaat van logberichten.
• Los verschillende documentatieverschillen en typfouten op de man-pagina's op.
• OpenSSH 7.3
• Beveiliging:
• sshd (8): Beperk een potentiële denial-of-service-aanval tegen de crypt (3) functie van het systeem via sshd (8). Een aanvaller kan zeer lange wachtwoorden verzenden die buitensporig CPU-gebruik in crypt (3) zouden veroorzaken. sshd (8) weigert nu om wachtwoordverificatieaanvragen van meer dan 1024 tekens te accepteren.
• sshd (8): Verklein de timingverschillen in wachtwoordverificatie die kunnen worden gebruikt voor het onderscheiden van geldige ongeldige accountnamen wanneer lange wachtwoorden zijn verzonden en bepaalde wachtwoordhash-algoritmen op de server in gebruik zijn. CVE-2016-6210.
• ssh (1), sshd (8): bevestig waarneembare timingzwakte in de CBC opvattingen oracle tegenmaatregelen. Merk op dat CBC-coderingen standaard zijn uitgeschakeld en alleen zijn opgenomen voor oudere compatibiliteit.
• ssh (1), sshd (8): Verbeter de volgorde van MAC-verificatie voor versleuteling dan MAC (EtM) -modus transport MAC-algoritmen om de MAC te verifiëren alvorens een cijfertekst te decoderen. Dit voorkomt de mogelijkheid dat timingverschillen feiten over de leesbare tekst lekken, hoewel een dergelijke lekkage niet bekend is.
• Nieuwe / gewijzigde functies:
• ssh (1): voeg een ProxyJump-optie en bijbehorende -J commandoregelvlag toe om vereenvoudigde indirectie toe te staan ​​door een of meer SSH-bastions of & quot; jump hosts & quot;.
• ssh (1): voeg een IdentityAgent-optie toe om specifieke agentsockets toe te staan ​​in plaats van een agent uit de omgeving te accepteren.
• ssh (1): laat ExitOnForwardFailure en ClearAllForwardings optioneel overschrijven bij gebruik van ssh -W. (BZ # 2577)
• ssh (1), sshd (8): Implementeer ondersteuning voor de IUTF8-terminalmodus volgens concept-sgtatham-secsh-iutf8-00.
• ssh (1), sshd (8): Ondersteuning toevoegen voor extra vaste Diffie-Hellman 2K-, 4K- en 8K-groepen uit draft-ietf-curdle-ssh-kex-sha2-03.
• ssh-keygen (1), ssh (1), sshd (8): ondersteunt SHA256- en SHA512 RSA-handtekeningen in certificaten.
• ssh (1): voeg een include-instructie toe voor ssh_config (5) -bestanden.
• ssh (1): UTF-8-tekens toestaan ​​in pre-authenticatiebanners die vanaf de server zijn verzonden. (BZ # 2058)
• De volgende significante bugs zijn opgelost in versie 6.2:
• In scp (1) en sftp (1) voorkomt u dat u terminalinstellingen beschadigt door bytes te ontlopen die geen ASCII- of UTF-8-tekens vormen.
• ssh (1), sshd (8): verlaag het syslog-niveau van sommige relatief veel voorkomende protocolgebeurtenissen van LOG_CRIT. (BZ # 2585)
• sshd (8): AuthenticationMethods weigeren = & quot; & quot; in configuraties en accepteer AuthenticationMethods = any voor het standaardgedrag van het niet vereisen van meerdere authenticatie. (BZ # 2398)
• sshd (8): verwijder verouderde en misleidende & quot; MOGELIJKE INBREUK POGING! & quot; bericht wanneer forward en reverse DNS niet overeenkomen. (BZ # 2585)
• ssh (1): Close ControlPersist achtergrondproces stderr behalve in debug-modus of bij loggen naar syslog. (BZ # 1988)
• misc: maak een PROTOCOL-beschrijving voor direct-streamlocal@openssh.com kanaal open berichten komen overeen met de ingezette code. (BZ # 2529)
• ssh (1): Localtrade en RemoteForward-vermeldingen omvouwen om fouten te corrigeren als zowel ExitOnForwardFailure als hostname canonicalization zijn ingeschakeld. (BZ # 2562)
• sshd (8): Terugval van moduli naar verouderde "prime-lenzen" verwijderen bestand dat in 2001 is verouderd. (bz # 2559)
• sshd_config (5): Juiste beschrijving van UseDNS: het beïnvloedt ssh-hostnaamverwerking voor authorized_keys, niet bekende_hosts. (BZ # 2554)
• ssh (1): Verifieer de authenticatie met alleenstaande certificaatsleutels in een agent zonder bijbehorende privésleutels op het bestandssysteem. (BZ # 2550)
• sshd (8): Stuur ClientAliveInterval-pings wanneer een op tijd gebaseerde RekeyLimit is ingesteld; voorheen keepalive-pakketten werden niet verzonden. (BZ # 2252)
• OpenNTPD 6.0
• Wanneer een enkele & quot; -beperking & quot; is opgegeven, probeer alle geretourneerde adressen totdat een is gelukt, in plaats van het eerste geretourneerde adres.
• Versoepelde de beperkingsfoutmarge evenredig te zijn met het aantal NTP-peers, vermijdt constante herverbindingen wanneer er een slechte NTP-peer is.
• Ondersteuning voor uitgeschakelde hotplug (4) sensor verwijderd.
• Ondersteuning toegevoegd voor het detecteren van crashes in subprocessen voor constraints.
• Verplaatst de uitvoering van beperkingen van het ntp-proces naar het bovenliggende proces, wat een betere privilege-scheiding mogelijk maakt, omdat het ntp-proces verder kan worden beperkt.
• Probleem met hoog CPU-gebruik bij een laag netwerk
• Verschillende geheugenlekken hersteld.
• Overgeschakeld naar RMS voor jitterberekeningen.
• Uniforme logfuncties met andere OpenBSD-basisprogramma's.
• Stel MOD_MAXERROR in om de niet-gesynchroniseerde tijdstatus te vermijden wanneer ntp_adjtime wordt gebruikt.
• Vaste HTTP Timestamp-header-parsing om strptime (3) op een meer draagbare manier te gebruiken.
• Geharde TLS voor ntpd (8) beperkingen, waardoor servernaamverificatie mogelijk wordt.
• LibreSSL 2.4.2
• Gebruikersvriendelijke functies:
• Enkele kapotte manpage-koppelingen in het installatiedoel hersteld
• cert.pem is gereorganiseerd en gesynchroniseerd met het certificaatarchief van Mozilla.
• Betrouwbaarheidsreparatie, een fout corrigeren bij het parseren van bepaalde ASN.1-elementen van meer dan 16.000.
• De IETF ChaCha20-Poly1305-coderingssuites geïmplementeerd.
• Vaste wachtwoordaanwijzingen van openssl (1) om ^ C af te handelen.
• Codeverbeteringen:
• Probleem met compatibiliteitsproblemen met nginx opgelost door een build_sw-builddoel toe te voegen.
• Gewijzigde standaard EVP_aead_chacha20_poly1305 (3) implementatie naar de IETF-versie, die nu de standaard is.
• Herwerkte foutafhandeling in libtls zodat configuratiefouten beter zichtbaar zijn.
• Toegevoegde ontbrekende foutafhandeling rond bn_wexpand (3) oproepen.
• Expliciete_bzero (3) calls voor bevrijde ASN.1-objecten toegevoegd.
• Fixed X509_ * set_object functies om 0 te retourneren bij allocatiefout.
• Verouderde interne gebruik van EVP_ [Cipher | Encrypt | Decrypt] _Final.
• Probleem opgelost dat verhindert dat het DSA-ondertekeningsalgoritme in constante tijd wordt uitgevoerd, zelfs als de vlag BN_FLG_CONSTTIME is ingesteld.
• Diverse problemen in de OCSP-code opgelost die kunnen leiden tot het onjuist genereren en parseren van OCSP-aanvragen. Dit lost een gebrek aan foutcontrole op tijd-parsering op in deze functies en zorgt ervoor dat alleen GENERALIZEDTIME-formaten worden geaccepteerd voor OCSP, zoals in RFC 6960.
• De volgende CVE's zijn gerepareerd:
• CVE-2016-2105-EVP_EncodeOplossing bijwerken
• CVE-2016-2106-EVP_EncryptUpdate overflow.
• CVE-2016-2107-padding oracle in AES-NI CBC MAC-controle.
• CVE-2016-2108-geheugenbeschadiging in de ASN.1-encoder.
• CVE-2016-2109-ASN.1 BIO buitensporige geheugentoewijzing.
• Poorten en pakketten:
• Nieuwe proot (1) tool in de ports tree voor het bouwen van pakketten in een chroot.
• Veel vooraf gebouwde pakketten voor elke architectuur:
• alpha: 7422
• amd64: 9433
• hppa: 6346
• i386: 9394
• mips64: 7921
• mips64el: 7767
• powerpc: 8318
• sparc64: 8570
• Enkele hoogtepunten:
• Afl 2.19b
• Chromium 51.0.2704.106
• Emacs 21.4 en 24.5
• GCC 4.9.3
• GHC 7.10.3
• Gimp 2.8.16
• GNOME 3.20.2
• Ga 1.6.3
• Groff 1.22.3
• JDK 7u80 en 8u72
• KDE 3.5.10 en 4.14.3 (plus KDE4 kern updates)
• LLVM / Clang 3.8.0
• LibreOffice 5.1.4.2
• Lua 5.1.5, 5.2.4 en 5.3.3
• MariaDB 10.0.25
• Mono 4.4.0.182
• Mozilla Firefox 45.2.0esr en 47.0.1
• Mozilla Thunderbird 45.2.0
• Straalt 1.6.2
• Node.js 4.4.5
• Ocaml 4.3.0
• OpenLDAP 2.3.43 en 2.4.44
• PHP 5.5.37, 5.6.23 en 7.0.8
• Postfix 3.1.1 en 3.2-20160515
• PostgreSQL 9.5.3
• Python 2.7.12, 3.4.5 en 3.5.2
• R 3.3.1
• Ruby 1.8.7.374, 2.0.0.648, 2.1.9, 2.2.5 en 2.3.1
• Rust 1.9.0-20160608
• Sendmail 8.15.2
• Sudo 1.8.17.1
• Tcl / Tk 8.5.18 en 8.6.4
• TeX Live 2015
• Vim 7.4.1467
• Xfce 4.12
• Zoals gewoonlijk, gestage verbeteringen in handleidingen en andere documentatie.
• Het systeem bevat de volgende belangrijke componenten van externe leveranciers:
• Xenocara (gebaseerd op X.Org 7,7 met xserver 1.18.3 + patches, freetype 2.6.3, 2.11.1 fontconfig, Mesa 11.2.2, xterm 322, xkeyboard-config 2,18 en meer)
• GCC 4.2.1 (+ patches) en 3.3.6 (+ patches)
• Perl 5.20.3 (+ patches)
• SQLite 3.9.2 (+ patches)
• NSD 4.1.10
• Niet geconsolideerd 1.5.9
• Ncurses 5,7
• Binutils 2.17 (+ patches)
• Gdb 6.3 (+ patches)
• Awk 10 augustus 2011-versie
• Expat 2.1.1

Wat is nieuw in versie 6.1:

• Nieuwe / uitgebreide platforms:
• ARMv7:
• EFI-bootloader toegevoegd, kernels worden nu geladen vanuit FFS in plaats van FAT- of EXT-bestandssystemen, zonder U-Boot-headers.
• Een enkele kernel en ramdisk worden nu voor alle SoC's gebruikt.
• Hardware wordt dynamisch opgesomd via een gefilterde apparaatstructuur (FDT) in plaats van via statische tabellen op basis van boord-ID-nummers.
• Miniroot-installerafbeeldingen bevatten U-Boot 2016.07 met ondersteuning voor EFI-payloads.
• VAX:
• verwijderd.
• Verbeterde hardware-ondersteuning, waaronder:
• Nieuwe bytgpio (4) driver voor de Intel Bay Trail GPIO-controller.
• Nieuw chvgpio (4) stuurprogramma voor de Intel Cherry View GPIO-controller.
• Nieuw maxrtc (4) stuurprogramma voor de realtime klok van Maxim DS1307.
• Nieuwe nvme (4) -driver voor de hostcontrollerinterface van de Non-Volatile Memory Express (NVMe).
• Nieuwe pcfrtc (4) driver voor de NXP PCF8523 real-time klok.
• Nieuwe umb (4) -stuurprogramma voor het Mobile Broadband Interface Model (MBIM).
• Nieuw ure (4) stuurprogramma voor op RealTek RTL8152 gebaseerde 10/100 USB Ethernet-apparaten.
• Nieuw utvfu (4) stuurprogramma voor audio / video-opnameapparaten op basis van de Fushicai USBTV007.
• Het stuurprogramma iwm (4) ondersteunt nu Intel Wireless 3165- en 8260-apparaten en werkt betrouwbaarder in RAMDISK-kernels.
• Ondersteuning voor I2C HID-apparaten met door GPIO gesignaleerde interrupts is toegevoegd aan dwiic (4).
• Ondersteuning voor grotere busbreedten, hoge snelheidsmodi en DMA-overdrachten is toegevoegd aan sdmmc (4), rtsx (4), sdhc (4) en imxesdhc (4).
• Ondersteuning voor EHCI en OHCI-compatibele USB-controllers op Octeon II SoC's.
• Veel USB-apparaatstuurprogramma's zijn ingeschakeld op OpenBSD / octeon.
• Verbeterde ondersteuning voor door hardware verminderde ACPI-implementaties.
• Verbeterde ondersteuning voor ACPI 5.0-implementaties.
• AES-NI-crypto is nu gereed zonder de kernelslot vast te houden.
• Verbeterde AGP-ondersteuning op PowerPC G5-machines.
• Ondersteuning toegevoegd voor de SD-kaartsleuf in Intel Bay Trail SoC's.
• De ichiic (4) -stuurprogramma negeert nu de SMBALERT # -onderbreking om een ​​interruptie storm met buggy BIOS-implementaties te voorkomen.
• Problemen met apparaatbijlagen met het stuurprogramma axen (4) zijn opgelost.
• De ral (4) -driver is stabieler onder belasting met RT2860-apparaten.
• Problemen met dode toetsenborden na hervatten zijn opgelost in het stuurprogramma pckbd (4).
• De rtsx (4) -driver ondersteunt nu RTS522A-apparaten.
• De eerste ondersteuning voor MSI-X is toegevoegd.
• Ondersteuning van MSI-X in de driver virtio (4).
• Er is een oplossing toegevoegd voor hardware-DMA-overschrijdingen naar de dc (4) -driver.
• De acpitz (4) -driver draait nu de ventilator na het koelen omlaag als ACPI hysteresis gebruikt voor actieve koeling.
• De xhci (4) -driver voert nu handoff uit een xHCI-geschikt BIOS correct uit.
• Ondersteuning voor multi-touch invoer is toegevoegd aan de wsmouse (4) driver.
• De uslcom (4) -driver ondersteunt nu de seriële console van draadloze 7xxx-controllers op Aruba.
• De re (4) -driver werkt nu rond gebroken LED-configuraties in APU1 EEPROMs.
• De ehci (4) -driver werkt nu rond problemen met ATI USB-controllers (bijvoorbeeld SB700).
• De xen (4) -driver ondersteunt nu domU-configuratie onder Qubes OS.
• IEEE 802.11-verbeteringen voor draadloze stacks:
• De HT-blok-ack-ontvangstbufferlogica volgt het algoritme in de specificatie 802.11-2012 van naderbij.
• De iwn (4) -driver houdt nu HT-beschermingswijzigingen bij terwijl deze is gekoppeld aan een 11n AP.
• De draadloze stack en verschillende stuurprogramma's maken agressiever gebruik van RTS / CTS om storing door verouderde apparaten en verborgen knooppunten te voorkomen.
• Het commando netstat (1) -W toont nu informatie over 802.11n-gebeurtenissen.
• Gebruik in de hostap-modus geen associatie-ID's van knooppunten die nog in de cache zijn opgeslagen. Lost een probleem op waarbij een toegangspunt dat het ral (4) -stuurprogramma gebruikt vast zou komen te zitten op 1 Mbps omdat Tx-snelheidsaccounting plaatsvond op het verkeerde knooppuntobject.
• Algemene verbeteringen aan netwerkstacks:
• De routeringstabel is nu gebaseerd op ART en biedt een snellere opzoekactie.
• Het aantal route-opzoekingen per pakket is teruggebracht tot 1 in het doorstuurpad.
• Het prio-veld op VLAN-headers is nu correct ingesteld op elk fragment van een IPv4-pakket dat uit gaat op een vlan (4) -interface.
• Ingeschakeld apparaatklonen voor bpf (4). Hierdoor kan het systeem slechts één bpf-apparaatknooppunt in / dev hebben dat alle bpf-gebruikers ondersteunt (tot 1024).
• De Tx-wachtrij van het cnmac (4) -stuurprogramma kan nu parallel met de rest van de kernel worden verwerkt.
• Het netwerkinvoerpad wordt nu in threadcontext uitgevoerd.
• Verbeteringen van het installatieprogramma:
• bijgewerkte lijst met beperkte gebruikerscodes
• install.sh en upgrade.sh samengevoegd tot install.sub
• update voert sysmerge (8) automatisch uit in batch-modus vóór fw_update (1)
• vragen en antwoorden worden vastgelegd in een indeling die kan worden gebruikt als een antwoordbestand voor gebruik door autoinstall (8)
• / usr / local is ingesteld op wxallowed during install
• Daemons en andere gebruikersnetwerkverbeteringen routeren:
• Voeg routetabelondersteuning toe aan rc.d (8) en rcctl (8).
• Laat nc (1) naast poortnummers ook servicenamen ondersteunen.
• Voeg -M en -m TTL-vlaggen toe aan nc (1).
• Voeg AF_UNIX-ondersteuning toe aan tcpbench (1).
• Fixed a regression in rarpd (8). De daemon kan vastlopen als deze lange tijd niet wordt gebruikt.
• Llprio-optie toegevoegd in ifconfig (8).
• Meerdere programma's die bpf (4) gebruiken, zijn aangepast om voordeel te halen uit bpf (4) apparaatklonen door / dev / bpf0 te openen in plaats van door / dev / bpf * -apparaten te lussen. Deze programma's bevatten arp (8), dhclient (8), dhcpd (8), dhcrelay (8), hostapd (8), mopd (8), npppd (8), rarpd (8), rbootd (8) en tcpdump (8). De libpcap-bibliotheek is ook dienovereenkomstig aangepast.
• Beveiligingsverbeteringen:
• W ^ X wordt nu standaard strikt gehandhaafd; een programma kan het alleen overtreden als het uitvoerbare bestand is gemarkeerd met PT_OPENBSD_WXNEEDED en zich bevindt op een bestandssysteem dat is gemount met de optie wxallowed mount (8). Omdat er nog steeds te veel poorten zijn die W ^ X schenden, koppelt het installatieprogramma het / usr / local-bestandssysteem met wxallow. Dit maakt het basissysteem veiliger zolang / usr / local een afzonderlijk bestandssysteem is. Als u geen W ^ X-programma's gebruikt, overweeg dan om die optie handmatig in te trekken.
• De setjmp (3) familie van functies past nu XOR-cookies toe om stack-en return-adreswaarden in de jmpbuf op amd64, hppa, i386, mips64 en powerpc.
• SROP-beperking: sigreturn (2) kan nu alleen worden gebruikt door de kernel geleverde signaal-trampoline, met een cookie om pogingen om het opnieuw te gebruiken te detecteren.
• Om exploits voor hergebruik van code te ontmoedigen, linkt rc (8) libc.so opnieuw aan het opstarten en plaatst de objecten in een willekeurige volgorde.
• Stop in de familie getpwnam (3) van functies standaard de schaduwdatabase.
• Toestaan ​​dat tcpdump (8) -r wordt gestart zonder rootprivileges.
• Systrace verwijderen.
• Ondersteuning van Linux-emulatie verwijderen.
• Ondersteuning voor de usermount-optie verwijderen.
• De TCP SYN-cache herhaalt zijn willekeurige hashfunctie van tijd tot tijd. Dit voorkomt dat een aanvaller de verdeling van de hashfunctie berekent met een timingaanval.
• Om tegen overstromingen met SYN te werken, kan de beheerder de grootte van de hash-array nu wijzigen. netstat (1) -s -p tcp toont de relevante informatie voor het afstemmen van de SYN-cache met sysctl (8) net.inet.tcp.
• De beheerder kan rootrechten vereisen voor binding aan sommige TCP- en UDP-poorten met sysctl (8) net.inet.tcp.rootonly en sysctl (8) net.inet.udp.rootonly.
• Verwijder een functiewijzer uit de gegevensstructuur van mbuf (9) en gebruik in plaats hiervan een index in een reeks acceptabele functies.
• Geassorteerde verbeteringen:
• De threadbibliotheek kan nu worden geladen in een proces met één thread.
• Verbeterde verwerking van symbolen en naleving van standaarden in libc. Bijvoorbeeld, het definiëren van een open () functie zal niet langer interfereren met de werking van fopen (3).
• PT_TLS-secties worden nu ondersteund in het aanvankelijk geladen object.
• Verbeterde afhandeling van "geen paden" en "leeg pad" in fts (3).
• Geef in pcap (3) de functies pcap_free_datalinks () en pcap_offline_filter ().
• Veel bugfixes en structurele opschoning in de editline (3) bibliotheek.
• Oude dbm (3) -functies verwijderen; ndbm (3) blijft.
• Voeg setenv-sleutelwoord toe voor een krachtigere omgang met de omgeving in doas.conf (5).
• Voeg -g en -p opties toe aan aucat.1 voor tijdpositionering.
• Herschrijf audioctl (1) met een eenvoudigere gebruikersinterface.
• Voeg -F optie toe om het bestand te installeren (1) naar fsync (2) alvorens het te sluiten.
• kdump (1) dumpt nu pollfd-structuren.
• Verbeter verschillende details van ksh (1) POSIX-compliance.
• mknod (8) herschreven in een belofte (2) -vriendelijke stijl en om het maken van meerdere apparaten tegelijkertijd te ondersteunen.
• Implementeer rcctl (8) haal alles op en download alles.
• Implementeer de rcs (1) -I (interactief) vlag.
• Voer in rcs (1) Mdocdate-trefwoordsubstitutie uit.
• Stel in de bovenste (1) de procesargumenten in als ze worden weergegeven.
• UTF-8-ondersteuning toegevoegd om te vouwen (1) en rev (1).
• Schakel UTF-8 standaard in xterm (1) en pod2man (1) in.
• Filter niet-ASCII-tekens in wall (1).
• Beheer de COLUMNS-omgevingsvariabele consequent in veel programma's.
• De opties -c en -k staan ​​toe om TLS-clientcertificaten voor syslogd (8) aan de verzendende kant te verstrekken. Daarmee kan de ontvangende partij verifiëren of logberichten authentiek zijn. Merk op dat syslogd deze vinkfunctie nog niet heeft.
• Wanneer de klog-buffer overloopt, schrijft syslogd een logbericht om aan te geven dat sommige vermeldingen ontbreken.
• Op OpenBSD / octeon is CPU-cache-schrijfbuffering ingeschakeld om de prestaties te verbeteren.
• pkg_add (1) en pkg_info (1) begrijpen nu een notie van branch om selectie van enkele populaire pakketten zoals python of php te vergemakkelijken, zeg bijvoorbeeld pkg_add python% 3.4 om de 3.4 branch te selecteren en pkg_info -zm te gebruiken om een fuzzy-lijst met branchenselectie krijgen die geschikt is voor pkg_add -l.
• fdisk (8) en pdisk (8) worden onmiddellijk afgesloten, tenzij een speciaal tekenapparaat is doorgegeven
• st (4) traceert correct de huidige bloktelling voor blokken van variabele grootte
• fsck_ext2fs (8) werkt weer
• softraid (4) volumes kunnen worden geconstrueerd met schijven met een andere sectorgrootte dan 512 bytes
• dhclient (8) DECLINE's en discards ongebruikte AANBIEDINGEN.
• dhclient (8) wordt onmiddellijk afgesloten als de interface (bijvoorbeeld een brug (4)) EAFNOSUPPORT retourneert wanneer een pakket wordt verzonden.
• httpd (8) retourneert 400 Bad Request for HTTP v0.9 requests.
• ffs2's luie knoopinitialisatie vermijdt het behandelen van willekeurige schijfgegevens als een inode
• fcntl (2) aanroepingen in basisprogramma's gebruiken het idioom fcntl (n, F_GETFL) in plaats van fcntl (n, F_GETFL, 0)
• socket (2) en accept4 (2) aanroepingen in basisprogramma's gebruiken SOCK_NONBLOCK om de noodzaak voor een afzonderlijke fcntl (2) te elimineren.
• tmpfs niet standaard ingeschakeld
• de in-kernel semantiek van eed (2) is op verschillende manieren verbeterd. Hoogtepunten zijn onder meer: ​​een nieuwe chown-belofte die beloofde programma's toestaat om setugid-kenmerken in te stellen, een strengere handhaving van de recvfd-belofte en chroot (2) is niet langer toegestaan ​​voor beloofde programma's.
• een aantal van de gelofte (2) -gerelateerde bugs (ontbrekende beloften, onbedoelde gedragsveranderingen, crashes) werden verholpen, met name in gzip (1), nc (1), sed (1), skeyinit (1), stty (1) en verschillende schijfgerelateerde hulpprogramma's, zoals disklabel (8) en fdisk (8).
• Foutberekeningen voor de berekening van de fouten in de audio (4) zijn opgelost.
• De usb (4) -driver slaat nu leverancier- en product-ID's in de cache op. Lost een probleem op waarbij usbdevs (8) een lus inroepen zou ertoe leiden dat een USB-apparaat voor massaopslag de bewerking stopt.
• De rsu (4) en ural (4) stuurprogramma's werken nu weer nadat ze per ongeluk in 5.9 zijn verbroken.
• OpenSMTPD 6.0.0
• Beveiliging:
• Implementeer het fork + exec-patroon in smtpd (8).
• Los een logisch probleem op in de SMTP-statusmachine die tot een ongeldige status kan leiden en een crash tot gevolg kan hebben.
• Sluit een lek in de bestandspointer aan dat kan leiden tot uitputting van bronnen en kan leiden tot een crash.
• Gebruik automatische DH-parameters in plaats van vaste parameters.
• Schakel DHE standaard uit, omdat het rekenkundig duur is en een potentiële DoS-vector.
• De volgende verbeteringen zijn aangebracht in versie 6.1:
• Voeg de optie -r toe aan de smtpd (8) enqueuer voor compatibiliteit met mailx.
• Voeg ontbrekende datum of bericht-id toe wanneer u luistert op de verzendpoort.
• Fix "smtpctl show queue" rapportage "ongeldige" envelop staat.
• Herwerk het formaat van de header "Ontvangen", zodat het TLS-onderdeel de RFC niet schendt.
• Vergroot het aantal verbindingen dat een lokaal adres mag maken en verlaag de vertraging tussen transacties in dezelfde sessie.
• LMTP-levering aan servers die continuïteitsregels retourneren oplossen
• Verdere verbetering van de nog experimentele filter-API en verhelpen van verschillende gerelateerde problemen.
• Beginnen met het verbeteren en verenigen van het formaat van logberichten.
• Los verschillende documentatieverschillen en typfouten op de man-pagina's op.
• OpenSSH 7.3
• Beveiliging:
• sshd (8): Beperk een potentiële denial-of-service-aanval tegen de crypt (3) functie van het systeem via sshd (8). Een aanvaller kan zeer lange wachtwoorden verzenden die buitensporig CPU-gebruik in crypt (3) zouden veroorzaken. sshd (8) weigert nu om wachtwoordverificatieaanvragen van meer dan 1024 tekens te accepteren.
• sshd (8): Verklein de timingverschillen in wachtwoordverificatie die kunnen worden gebruikt voor het onderscheiden van geldige ongeldige accountnamen wanneer lange wachtwoorden zijn verzonden en bepaalde wachtwoordhash-algoritmen op de server in gebruik zijn. CVE-2016-6210.
• ssh (1), sshd (8): bevestig waarneembare timingzwakte in de CBC opvattingen oracle tegenmaatregelen. Merk op dat CBC-coderingen standaard zijn uitgeschakeld en alleen zijn opgenomen voor oudere compatibiliteit.
• ssh (1), sshd (8): Verbeter de volgorde van MAC-verificatie voor versleuteling dan MAC (EtM) -modus transport MAC-algoritmen om de MAC te verifiëren alvorens een cijfertekst te decoderen. Dit voorkomt de mogelijkheid dat timingverschillen feiten over de leesbare tekst lekken, hoewel een dergelijke lekkage niet bekend is.
• Nieuwe / gewijzigde functies:
• ssh (1): voeg een ProxyJump-optie en bijbehorende -J-opdrachtregel toe om vereenvoudigde indirectie mogelijk te maken via een of meer SSH-bastions of "spronggastheren".
• ssh (1): voeg een IdentityAgent-optie toe om specifieke agentsockets toe te staan ​​in plaats van een agent uit de omgeving te accepteren.
• ssh (1): laat ExitOnForwardFailure en ClearAllForwardings optioneel overschrijven bij gebruik van ssh -W. (BZ # 2577)
• ssh (1), sshd (8): Implementeer ondersteuning voor de IUTF8-terminalmodus volgens concept-sgtatham-secsh-iutf8-00.
• ssh (1), sshd (8): Ondersteuning toevoegen voor extra vaste Diffie-Hellman 2K-, 4K- en 8K-groepen uit draft-ietf-curdle-ssh-kex-sha2-03.
• ssh-keygen (1), ssh (1), sshd (8): ondersteunt SHA256- en SHA512 RSA-handtekeningen in certificaten.
• ssh (1): voeg een include-instructie toe voor ssh_config (5) -bestanden.
• ssh (1): UTF-8-tekens toestaan ​​in pre-authenticatiebanners die vanaf de server zijn verzonden. (BZ # 2058)
• De volgende significante bugs zijn opgelost in versie 6.1:
• In scp (1) en sftp (1) voorkomt u dat u terminalinstellingen beschadigt door bytes te ontlopen die geen ASCII- of UTF-8-tekens vormen.
• ssh (1), sshd (8): verlaag het syslog-niveau van sommige relatief veel voorkomende protocolgebeurtenissen van LOG_CRIT. (BZ # 2585)
• sshd (8): Weigeren AuthenticationMethods = "" in configuraties en accepteren AuthenticationMethods = any voor het standaardgedrag van het niet vereisen van meerdere authenticatie. (BZ # 2398)
• sshd (8): verwijder verouderde en misleidende "MOGELIJKE INBREUK POGING!" bericht wanneer forward en reverse DNS niet overeenkomen. (BZ # 2585)
• ssh (1): Close ControlPersist achtergrondproces stderr behalve in debug-modus of bij loggen naar syslog. (BZ # 1988)
• misc: maak een PROTOCOL-beschrijving voor direct-streamlocal@openssh.com kanaal open berichten komen overeen met de ingezette code. (BZ # 2529)
• ssh (1): Localtrade en RemoteForward-vermeldingen omvouwen om fouten te corrigeren als zowel ExitOnForwardFailure als hostname canonicalization zijn ingeschakeld. (BZ # 2562)
• sshd (8): verwijder fallback van moduli naar verouderde "prime-bestanden" die verouderd waren in 2001. (bz # 2559)
• sshd_config (5): Juiste beschrijving van UseDNS: het beïnvloedt ssh-hostnaamverwerking voor authorized_keys, niet bekende_hosts. (BZ # 2554)
• ssh (1): Verifieer de authenticatie met alleenstaande certificaatsleutels in een agent zonder bijbehorende privésleutels op het bestandssysteem. (BZ # 2550)
• sshd (8): Stuur ClientAliveInterval-pings wanneer een op tijd gebaseerde RekeyLimit is ingesteld; voorheen keepalive-pakketten werden niet verzonden. (BZ # 2252)
• OpenNTPD 6.0
• Wanneer een enkele "beperking" is gespecificeerd, probeer dan alle geretourneerde adressen totdat één slaagt, in plaats van het eerste geretourneerde adres.
• Versoepelde de beperkingsfoutmarge evenredig te zijn met het aantal NTP-peers, vermijdt constante herverbindingen wanneer er een slechte NTP-peer is.
• Ondersteuning voor uitgeschakelde hotplug (4) sensor verwijderd.
• Ondersteuning toegevoegd voor het detecteren van crashes in subprocessen voor constraints.
• Verplaatst de uitvoering van beperkingen van het ntp-proces naar het bovenliggende proces, wat een betere privilege-scheiding mogelijk maakt, omdat het ntp-proces verder kan worden beperkt.
• Probleem met hoog CPU-gebruik bij een laag netwerk
• Verschillende geheugenlekken hersteld.
• Overgeschakeld naar RMS voor jitterberekeningen.
• Uniforme logfuncties met andere OpenBSD-basisprogramma's.
• Stel MOD_MAXERROR in om de niet-gesynchroniseerde tijdstatus te vermijden wanneer ntp_adjtime wordt gebruikt.
• Vaste HTTP Timestamp-header-parsing om strptime (3) op een meer draagbare manier te gebruiken.
• Geharde TLS voor ntpd (8) beperkingen, waardoor servernaamverificatie mogelijk wordt.
• LibreSSL 2.4.2
• Gebruikersvriendelijke functies:
• Enkele kapotte manpage-koppelingen in het installatiedoel hersteld
• cert.pem is gereorganiseerd en gesynchroniseerd met het certificaatarchief van Mozilla.
• Betrouwbaarheidsreparatie, een fout corrigeren bij het parseren van bepaalde ASN.1-elementen van meer dan 16.000.
• De IETF ChaCha20-Poly1305-coderingssuites geïmplementeerd.
• Vaste wachtwoordaanwijzingen van openssl (1) om ^ C af te handelen.
• Codeverbeteringen:
• Probleem met compatibiliteitsproblemen met nginx opgelost door een build_sw-builddoel toe te voegen.
• Gewijzigde standaard EVP_aead_chacha20_poly1305 (3) implementatie naar de IETF-versie, die nu de standaard is.
• Herwerkte foutafhandeling in libtls zodat configuratiefouten beter zichtbaar zijn.
• Toegevoegde ontbrekende foutafhandeling rond bn_wexpand (3) oproepen.
• Expliciete_bzero (3) calls voor bevrijde ASN.1-objecten toegevoegd.
• Fixed X509_ * set_object functies om 0 te retourneren bij allocatiefout.
• Verouderde interne gebruik van EVP_ [Cipher | Encrypt | Decrypt] _Final.
• Probleem opgelost dat verhindert dat het DSA-ondertekeningsalgoritme in constante tijd wordt uitgevoerd, zelfs als de vlag BN_FLG_CONSTTIME is ingesteld.
• Diverse problemen in de OCSP-code opgelost die kunnen leiden tot het onjuist genereren en parseren van OCSP-aanvragen. Dit lost een gebrek aan foutcontrole op tijd-parsering op in deze functies en zorgt ervoor dat alleen GENERALIZEDTIME-formaten worden geaccepteerd voor OCSP, zoals in RFC 6960.
• De volgende CVE's zijn gerepareerd:
• CVE-2016-2105-EVP_EncodeOplossing bijwerken
• CVE-2016-2106-EVP_EncryptUpdate overflow.
• CVE-2016-2107-padding oracle in AES-NI CBC MAC-controle.
• CVE-2016-2108-geheugenbeschadiging in de ASN.1-encoder.
• CVE-2016-2109-ASN.1 BIO buitensporige geheugentoewijzing.
• Poorten en pakketten:
• Nieuwe proot (1) tool in de ports tree voor het bouwen van pakketten in een chroot.
• Veel vooraf gebouwde pakketten voor elke architectuur:
• alpha: 7422
• amd64: 9433
• hppa: 6346
• i386: 9394
• mips64: 7921
• mips64el: 7767
• powerpc: 8318
• sparc64: 8570
• Enkele hoogtepunten:
• Afl 2.19b
• Chromium 51.0.2704.106
• Emacs 21.4 en 24.5
• GCC 4.9.3
• GHC 7.10.3
• Gimp 2.8.16
• GNOME 3.20.2
• Ga 1.6.3
• Groff 1.22.3
• JDK 7u80 en 8u72
• KDE 3.5.10 en 4.14.3 (plus KDE4 kern updates)
• LLVM / Clang 3.8.0
• LibreOffice 5.1.4.2
• Lua 5.1.5, 5.2.4 en 5.3.3
• MariaDB 10.0.25
• Mono 4.4.0.182
• Mozilla Firefox 45.2.0esr en 47.0.1
• Mozilla Thunderbird 45.2.0
• Straalt 1.6.2
• Node.js 4.4.5
• Ocaml 4.3.0
• OpenLDAP 2.3.43 en 2.4.44
• PHP 5.5.37, 5.6.23 en 7.0.8
• Postfix 3.1.1 en 3.2-20160515
• PostgreSQL 9.5.3
• Python 2.7.12, 3.4.5 en 3.5.2
• R 3.3.1
• Ruby 1.8.7.374, 2.0.0.648, 2.1.9, 2.2.5 en 2.3.1
• Rust 1.9.0-20160608
• Sendmail 8.15.2
• Sudo 1.8.17.1
• Tcl / Tk 8.5.18 en 8.6.4
• TeX Live 2015
• Vim 7.4.1467
• Xfce 4.12
• Zoals gewoonlijk, gestage verbeteringen in handleidingen en andere documentatie.
• Het systeem bevat de volgende belangrijke componenten van externe leveranciers:
• Xenocara (gebaseerd op X.Org 7.7 met xserver 1.18.3 + patches, freetype 2.6.3, fontconfig 2.11.1, Mesa 11.2.2, xterm 322, xkeyboard-config 2.18 en meer)
• GCC 4.2.1 (+ patches) en 3.3.6 (+ patches)
• Perl 5.20.3 (+ patches)
• SQLite 3.9.2 (+ patches)
• NSD 4.1.10
• Niet geconsolideerd 1.5.9
• Ncurses 5,7
• Binutils 2.17 (+ patches)
• Gdb 6.3 (+ patches)
• Awk 10 augustus 2011-versie
• Expat 2.1.1