OpenBSD

OpenBSD es un proyecto gratuito que ofrece un sistema operativo multiplataforma similar a UNIX que es portátil, eficiente, seguro y está basado en la plataforma 4.4BSD. Es un poderoso producto de servidor utilizado en cientos de miles de computadoras en todo el mundo.

El sistema operativo está disponible para su descarga desde la sección dedicada (ver arriba) como imágenes ISO o paquetes binarios que permiten a los usuarios instalarlo a través de la red. Las imágenes ISO se pueden grabar en discos CD, que se pueden arrancar directamente desde el BIOS de la mayoría de las computadoras.

OpenBSD admite la emulación binaria de la mayoría de los programas de SVR4 (Solaris), FreeBSD, Linux, BSD, SunOS y HP-UX. Se puede instalar en una amplia gama de arquitecturas, incluidas i386, sparc64, alpha, m68k, sh, amd64, PowerPC, m88k, & nbsp; sparc, ARM, hppa, vax, mips64 y mips64el.

La imagen del CD se iniciará automáticamente sin la interacción del usuario y les preguntará si desean instalar, actualizar o instalar automáticamente el sistema operativo, así como soltar el indicador del shell.

Instalación manual o automática

Una instalación estándar (lectura: manual) requerirá que los usuarios elijan un diseño de teclado, establezcan el nombre de host, elijan una interfaz de red y lo configuren con IPv4 y / o IPv6, así como establecer una nueva contraseña para la raíz ( administrador del sistema) cuenta.

Además, puede elegir iniciar los servicios SSH y NTP cuando se inicia el sistema, elegir si desea usar el sistema X Window o no, configurar un usuario, elegir una zona horaria, particionar la unidad de disco e instalar conjuntos .

Entre los paquetes de software incluidos disponibles para OpenBSD, podemos mencionar los entornos de escritorio GNOME, KDE y Xfce, los servidores MySQL, PostgreSQL, Postfix y OpenLDAP, las aplicaciones Mozilla Firefox, Mozilla Thunderbird, LibreOffice, Emacs, Vim y Chromium. así como los lenguajes de programación PHP, Python, Ruby, Tcl / Tk, JDK, Mono y Go.

Resumiendo, OpenBSD es un potente y aclamado sistema operativo BSD / UNIX orientado al servidor que nos proporciona un software de vanguardia, que incluye OpenSSH, OpenNTPD, OpenSMTPD, OpenBGPD, OpenIKED y mandoc.

Qué hay de nuevo en esta versión:

• Soporte de hardware mejorado, que incluye:
• Soporte SMP en plataformas OpenBSD / arm64.
• Compatibilidad con VFP y NEON en plataformas OpenBSD / armv7.
• Nuevo controlador acrtc (4) para el códec de audio X-Powers AC100 y el reloj en tiempo real.
• Nuevo controlador axppmic (4) para X-Powers AXP Power Management ICs.
• Nuevo controlador bcmrng (4) para generador de números aleatorios Broadcom BCM2835 / BCM2836 / BCM2837.
• Nuevo controlador bcmtemp (4) para el monitor de temperatura Broadcom BCM2835 / BCM2836 / BCM2837.
• Nuevo controlador bgw (4) para el sensor de movimiento Bosch.
• Nuevo controlador bwfm (4) para dispositivos Broadcom y Cypress FullMAC 802.11 (aún experimental y no compilado en el núcleo de forma predeterminada)
• Nuevo controlador de efi (4) para los servicios de tiempo de ejecución de EFI.
• Nuevo controlador imxanatop (4) para el regulador integrado i.MX6.
• Nuevo controlador rkpcie (4) para Rockchip RK3399 Host / PCIe bridge.
• Nuevo controlador sxirsb (4) para el controlador de bus serie reducido Allwinner.
• Nuevo controlador sxitemp (4) para el monitor de temperatura Allwinner.
• Nuevo controlador sxits (4) para sensor de temperatura en el controlador de panel táctil Allwinner A10 / A20.
• Nuevo controlador sxitwi (4) para bus de dos cables que se encuentra en varios SoC de Allwinner.
• Nuevo controlador sypwr (4) para el regulador Silergy SY8106A.
• Se ha agregado soporte para Rockchip RK3328 SoCs a los controladores dwge (4), rkgrf (4), rkclock (4) y rkpinctrl (4).
• Se ha agregado soporte para Rockchip RK3288 / RK3328 SoCs al controlador rktemp (4).
• Se ha agregado soporte para los SoC Allwinner A10 / A20, A23 / A33, A80 y R40 / V40 al controlador sxiccmu (4).
• Se ha agregado soporte para los SoC Allwinner A33, GR8 y R40 / V40 al controlador sxipio (4).
• Se ha agregado soporte para SAS3.5 MegaRAIDs al controlador mfii (4).
• Se agregó compatibilidad con Intel Cannon Lake y Ice Lake Ethernet integrado al controlador em (4).
• los puertos cnmac (4) ahora están asignados a diferentes núcleos de CPU para el procesamiento de interrupción distribuida.
• El controlador de pms (4) ahora detecta y maneja los anuncios de restablecimiento.
• En amd64, el microcódigo de la CPU Intel se carga en el arranque e instalado / actualizado por fw_update (1).
• Admite la API de cookie de interrupción del hipervisor sun4v, que agrega compatibilidad con las máquinas SPARC T7-1 / 2/4.
• Se agregó el soporte de Hibernate para el almacenamiento SD / MMC conectado a los controladores sdhc (4).
• clang (1) ahora se usa como el compilador del sistema en armv7, y también se proporciona en sparc64.
• vmm (4) / vmd (8) mejoras:
• Agregue compatibilidad con CD-ROM / DVD ISO a vmd (8) a través de vioscsi (4).
• vmd (8) ya no crea una interfaz de puente subyacente para conmutadores virtuales definidos en vm.conf (5).
• vmd (8) recibe información del conmutador (rdomain, etc.) desde la interfaz del conmutador subyacente junto con la configuración en vm.conf (5).
• Compatibilidad con contador de marca de tiempo (TSC) en máquinas virtuales invitadas.
• Admite los unikernels de ukvm / Solo5 en vmm (4).
• Maneja codificaciones de instrucciones válidas (pero poco comunes) mejor.
• Mejor soporte de paginación PAE para máquinas virtuales invitadas de Linux de 32 bits.
• vmd (8) ahora permite hasta cuatro interfaces de red en cada VM.
• Agregue migración en pausa y compatibilidad con snapshots a vmm (4) para hosts AMD SVM / RVI.

Los comandos BREAK enviados a través de pty (4) ahora son entendidos por vmd (8).
• Muchas correcciones para el manejo de errores de vmctl (8) y vmd (8).
• Mejoras en la pila inalámbrica IEEE 802.11:
• Los controladores iwm (4) e iwn (4) se desplazarán automáticamente entre los puntos de acceso que comparten un ESSID. Forzar la dirección MAC de un AP en particular con el comando bssid de ifconfig deshabilita el roaming.
• Borra automáticamente las claves WEP / WPA configuradas cuando se configura un nuevo ESSID de red.
• Se eliminó la posibilidad de que userland lea las claves WEP / WPA configuradas desde el kernel.
• El controlador iwm (4) ahora se puede conectar a redes con un SSID oculto.
• Los dispositivos USB compatibles con el controlador athn (4) ahora usan un firmware de fuente abierta, y el modo hostap ahora funciona con estos dispositivos.
• Mejoras en la pila de red genérica:
• La pila de red ya no se ejecuta con KERNEL_LOCK () cuando IPsec está habilitado.
• El procesamiento de los paquetes TCP / UDP entrantes ahora se realiza sin KERNEL_LOCK ().
• La tarea de empalme del socket se ejecuta sin KERNEL_LOCK ().
• Limpieza y eliminación de código en sys / netinet6 ya que la autoconfiguración se ejecuta ahora en userland.

Ahora se puede evitar que los miembros de
• bridge (4) hablen entre sí con la nueva opción protegida.
• La función pf divert-packet se ha simplificado. La opción de socket IP_DIVERTFL se ha eliminado del desvío (4).
• Varios casos de esquina de desvío-a y desvío-respuesta son más consistentes ahora.
• Haga cumplir en pf (4) que todos los paquetes de descubrimiento vecinos tienen 255 en su campo de límite de salto de encabezado IPv6.
• Nueva opción set syncookies en pf.conf (5).
• Soporte para GRE sobre IPv6.
• Nuevo controlador egre (4) para Ethernet sobre túneles GRE.
• Compatibilidad con el encabezado de la tecla GRE opcional y la entropía de la clave GRE en gre (4) y egre (4).
• Nuevo controlador nvgre (4) para la virtualización de red utilizando encapsulación de enrutamiento genérico.
• Soporte para configurar los paquetes de indicadores Do not Fragment encapsulados por interfaces de túnel.
• Mejoras del instalador:
• si install.site o upgrade.site falla, notifique al usuario y obtenga un error luego de almacenar rand.seed.
• permite la notación CIDR al ingresar direcciones IPv4 e IPv6.
• repara la selección de un espejo HTTP de la lista de réplicas.
• permitir '-' en nombres de usuario.
• haga una pregunta al final del proceso de instalación / actualización para que el retorno de carro provoque la acción adecuada, p. reiniciar.
• muestra las solicitudes de shell de modo (instalación o actualización) siempre que no se conozca ningún nombre de host.
• detecta correctamente qué interfaz tiene la ruta predeterminada y si se configuró a través de DHCP.
• asegúrese de que los conjuntos se puedan leer desde el área de captación previa.
• asegúrese de que la redirección de URL sea efectiva para toda la instalación / actualización.
• agregue el proxy HTTP utilizado al recuperar conjuntos a rc.firsttime, donde fw_update y syspatch pueden encontrarlo y usarlo.
• agregue lógica para admitir RFC 7217 con SLAAC.
• asegúrese de que IPv6 esté configurado para las interfaces de red creadas dinámicamente como vlan (4).
• crea un nombre de host correcto cuando se proporcionan opciones de nombre de dominio y búsqueda de dominio en la concesión de DHCP.
• Daemons de enrutamiento y otras mejoras de redes de usuarios:
• bgpctl (8) tiene una nueva opción ssv que emite las entradas rib como un único punto y coma separado para la selección antes de la salida.
• slaacd (8) genera direcciones de autoconfiguración sin estado IPv6 aleatorias pero estables según RFC 7217. Estas están habilitadas por defecto de acuerdo con RFC 8064.
• slaacd (8) sigue RFC 4862 al eliminar una limitación artificial en / 64 prefijos de tamaño utilizando RFC 7217 (aleatorio pero estable) y RFC 4941 (privacidad) estilo de direcciones de autoconfiguración sin estado.
• ospfd (8) ahora puede establecer la métrica para una ruta dependiendo del estado de una interfaz.
• ifconfig (8) tiene una nueva opción de staticarp para que las interfaces respondan solo a las solicitudes ARP.
• ipsecctl (8) ahora puede contraer las salidas de flujo que tienen el mismo origen o destino.
• La opción -n en netstart (8) ya no se complica con la ruta predeterminada. Ahora está documentado también.
• Mejoras de seguridad:
• Utilice aún más trampas-trineos en varias arquitecturas.
• Más uso de .rodata para variables constantes en origen de ensamblado.
• Deja de usar x86 & quot; repz ret & quot; en los rincones polvorientos del árbol.
• Introduce & quot; execpromises & quot; en prenda (2).
• La utilidad elfrdsetroot utilizada para crear ramdisks y el proceso de supervisión de rebote (8) ahora usan el compromiso (2).
• Prepárese para la presentación de MAP_STACK a mmap (2) después de 6.3.
• Inserta una pequeña porción de texto del núcleo vinculado a KARL en el generador de números aleatorios como entropía al inicio.
• Coloque un pequeño espacio al azar en la parte superior de las pilas de hilos, de modo que los atacantes tengan otro cálculo para realizar para su trabajo de ROP.
• Mitigación de la vulnerabilidad de Meltdown para las CPU amd64 de la marca Intel.
• OpenBSD / arm64 ahora usa el aislamiento de la tabla de la página del kernel para mitigar los ataques de la variante 3 (Meltdown) de Specter.
• OpenBSD / armv7 y OpenBSD / arm64 ahora limpian el búfer de destino de sucursal (BTB) en los procesadores que realizan una ejecución especulativa para mitigar los ataques de la variante 2 de Specter.
• pool_get (9) perturba el orden de los elementos en las páginas recientemente asignadas, lo que hace que el diseño del montón del kernel sea más difícil de predecir.
• Se eliminó la llamada al sistema fktrace (2).
• mejoras de dhclient (8):
• Al analizar dhclient.conf (5), ya no se filtran las cadenas de SSID, cadenas que son demasiado largas para el búfer de análisis o las opciones y comandos de cadenas repetidas.
• Ya no se admite el almacenamiento de concesiones en dhclient.conf (5).
• 'DENY' ya no es válido en dhclient.conf (5).
• dhclient.conf (5) y dhclient.leases (5) los mensajes de error de análisis se han simplificado y aclarado, con un comportamiento mejorado en presencia de puntos y comas inesperados.
• Se tiene más cuidado de usar solo la información de configuración que se analizó correctamente.
• '- n' ha sido agregado, lo que hace que dhclient (8) salga después de analizar dhclient.conf (5).
• Las rutas predeterminadas en las opciones classless-static-routes (121) y classless-ms-static-routes (249) ahora están representadas correctamente en dhclient.leases (5) archivos.
• Sobrescriba el archivo especificado con '-L' en lugar de anexarlo.
• Los arrendamientos en dhclient.leases (5) ahora contienen un atributo 'época' que registra la hora en que se aceptó el arrendamiento, que se usa para calcular los tiempos correctos de renovación, reenlace y caducidad.
• Ya no molesta por subrayados en nombres que violan RFC 952.
• Envía información de nombre de host incondicionalmente al solicitar un arrendamiento, eliminando la necesidad de dhclient.conf (5) en la instalación predeterminada.
• Cállate por defecto. '-q' ha sido eliminado y '-v' agregado para habilitar el registro detallado.
• Rechazar ofertas duplicadas para la dirección solicitada.
• Vaya incondicionalmente al fondo después del tiempo de espera del enlace.
• Reduzca significativamente el inicio de sesión cuando está en silencio, pero haga que '-v' registre toda la información de depuración sin necesidad de compilar un ejecutable personalizado.
• Ignore las declaraciones de 'interfaz' en dhclient.leases (5) y suponga que todas las concesiones en el archivo corresponden a la interfaz que se está configurando.
• Muestra el origen de la concesión vinculada a la interfaz.

Las declaraciones
• 'ignorar', 'solicitar' y 'exigir' en dhclient.conf (5) ahora agregan las opciones especificadas a la lista relevante en lugar de reemplazar la lista.
• Elimina una carrera de inicio que podría dar como resultado que dhclient (8) salga sin configurar la interfaz.
• Mejoras variadas:
• Reorganización del código y otras mejoras a malloc (3) y amigos para hacerlos más eficientes.
• Al realizar operaciones de suspender o hibernar, asegúrese de que todos los sistemas de archivos estén correctamente sincronizados y marcados, o si no se pueden poner en perfecto estado en el disco (debido a archivos abiertos + desvinculados) y luego márquelos sucios para que no se pueda reanudar / unhibernate garantiza realizar fsck (8).
• acme-client (1) detecta automáticamente la URL del acuerdo y sigue 30x redireccionamientos HTTP.
• Agregó __cxa_thread_atexit () para admitir las cadenas de herramientas modernas de C ++.
• Se agregó el soporte de EVFILT_DEVICE a kqueue (2) para supervisar los cambios a dispositivos drm (4).
• ldexp (3) ahora maneja correctamente el signo de los números denormales en mips64.
• Nuevos sincos (3) funciones en libm.
• fdisk (8) ahora garantiza la validez de las compensaciones de partición MBR ingresadas durante la edición.
• fdisk (8) ahora garantiza que los valores predeterminados se encuentran dentro del rango válido.
• less (1) ahora divide solo la variable de entorno LESS en '$'.
• less (1) ya no crea un archivo falso al encontrar '$' en el comando inicial.
• softraid (4) ahora valida la cantidad de fragmentos al ensamblar un volumen, asegurando que los metadatos en disco y en memoria estén sincronizados.
• disklabel (8) ahora siempre ofrece editar el tamaño de fragmento de una partición FFS antes de ofrecer editar el tamaño de bloque.
• disklabel (8) ahora permite editar el atributo cilindros / grupo (cpg) siempre que se pueda editar el tamaño de bloques de la partición.
• disklabel (8) ahora detecta ^ D y entrada no válida durante (R) esize comandos.
• disklabel (8) ahora detecta subdesbordamientos y desbordamientos cuando se usan operadores - / +.
• disklabel (8) ahora evita una de a una al calcular el número de cilindros en un trozo libre.
• disklabel (8) ahora valida el tamaño de la partición solicitada contra el tamaño del fragmento libre más grande en lugar del espacio libre total.
• Soporte para volcar transferencias USB a través de bpf (4).
• tcpdump (8) ahora puede comprender vuelcos de transferencias USB en el formato USBPcap.
• Las solicitudes predeterminadas de csh (1), ksh (1) y sh (1) ahora incluyen el nombre de host.
• La asignación de memoria en ksh (1) se cambió de calloc (3) a malloc (3), lo que facilita el reconocimiento de la memoria no inicializada. Como resultado, se descubrió y solucionó un error relacionado con la historia en el modo de edición de emacs.
• Nueva opción script (1) -c para ejecutar un comando en lugar de un shell.
• Nueva opción grep (1) -m para limitar el número de coincidencias.
• Nueva opción de uniq (1) -i para la comparación de mayúsculas y minúsculas.
• La cadena de formato printf (3) ya no se valida al buscar% formatos. Basado en una confirmación por parte de Android y siguiendo la mayoría de los demás sistemas operativos.
• Comprobación de errores mejorada en vfwprintf (3).
• Muchos programas base se han auditado y reparado para descripciones de archivos obsoletos, incluidos cron (8), ftp (1), mandoc (1), openssl (1), ssh (1) y sshd (8).
• Varias correcciones de errores y mejoras en jot (1):
• Se eliminaron los límites de longitud arbitrarios para los argumentos para las opciones -b, -s, -w.
• Ahora se admite el especificador de formato% F y se corrigió un error en el formato% D.
• Mejor cobertura de código en las pruebas de regresión.
• Se corrigieron varios desbordamientos de búfer.
• La utilidad parche (1) ahora se adapta mejor a git diffs que crean o eliminan archivos.
• pkg_add (1) ahora tiene soporte mejorado para redirectores HTTP (S) como cdn.openbsd.org.
• ftp (1) y pkg_add (1) ahora admiten la reanudación de la sesión HTTPS para una velocidad mejorada.
• el tamaño del archivo de salida de mandoc (1) -T ps se redujo en más del 50%.
• syslogd (8) registra si hubo advertencias durante el inicio.
• syslogd (8) detuvo el registro de archivos en un sistema de archivos completo. Ahora escribe una advertencia y continúa después de que haya espacio disponible.
• vmt (4) ahora permite clonar y tomar instantáneas de solo disco de invitados en ejecución.
• OpenSMTPD 6.0.4
• Agregue la opción spf walk a smtpctl (8).
• Limpiezas y mejoras variadas.
• Numerosas correcciones de página manuales y mejoras.
• OpenSSH 7.7
• Funciones nuevas / modificadas:
• Todo: agregue soporte experimental para las claves PQC XMSS (Firmas basadas en hash extendido) basadas en el algoritmo descrito en https://tools.ietf.org/html/draft-irtf-cfrg-xmss-hash-based-signatures -12 El código de firma XMSS es experimental y no está compilado de manera predeterminada.
• sshd (8): agregue un & quot; dominioR & quot; criterios para sshd_config Match palabra clave para permitir la configuración condicional que depende de en qué dominio de enrutamiento se recibió una conexión (actualmente compatible con OpenBSD y Linux).
• sshd_config (5): Agregue un calificador rdomain opcional a la directiva ListenAddress para permitir escuchar en diferentes dominios de enrutamiento. Esto solo es compatible con OpenBSD y Linux en este momento.
• sshd_config (5): Agregue la directiva RDomain para permitir que la sesión autenticada se coloque en un dominio de enrutamiento explícito. Esto solo es compatible con OpenBSD en este momento.
• sshd (8): agregue & quot; tiempo de expiración & quot; opción para archivos authorized_keys para permitir el vencimiento de las claves.
• ssh (1): agregue una opción BindInterface para permitir el enlace de la conexión saliente con la dirección de una interfaz (básicamente, una BindAddress más útil).
• ssh (1): exponer el dispositivo asignado para el reenvío tun / tap a través de una nueva expansión% T para LocalCommand. Esto permite que LocalCommand se use para preparar la interfaz.
• sshd (8): Exponga el dispositivo asignado para tun / tap forwarding a través de una nueva variable de entorno SSH_TUNNEL. Esto permite la configuración automática de la interfaz y la configuración de red circundante automáticamente en el servidor.
• ssh (1) / scp (1) / sftp (1): agregue soporte de URI a ssh, sftp y scp, p. ssh: // usuario @ host o sftp: // usuario @ host / ruta. Los parámetros de conexión adicionales descritos en draft-ietf-secsh-scp-sftp-ssh-uri-04 no se implementan, ya que el formato de huella dactilar ssh en el borrador usa el hash MD5 en desuso, sin posibilidad de especificar ningún otro algoritmo.
• ssh-keygen (1): permite intervalos de validez de certificado que especifican solo una hora de inicio o finalización (en lugar de ambas o ninguna).
• sftp (1): Permitir & quot; cd & quot; y & quot; lcd & quot; comandos sin argumento de ruta explícito. lcd cambiará al directorio de inicio del usuario local como de costumbre. cd cambiará al directorio de inicio para la sesión (porque el protocolo no ofrece ninguna forma de obtener el directorio de inicio del usuario remoto). bz # 2760
• sshd (8): cuando se realiza una prueba de configuración con sshd -T, solo se requieren los atributos que se usan realmente en los criterios de coincidencia en lugar de (una lista incompleta de) todos los criterios.
• Los siguientes errores importantes se han solucionado en esta versión:
• ssh (1) / sshd (8): verifique más estrictamente los tipos de firma durante el intercambio de claves con respecto a lo negociado. Evita la degradación de las firmas RSA realizadas con SHA-256/512 a SHA-1.
• sshd (8): solución de problemas para el cliente que anuncia una versión de protocolo de & quot; 1.99 & quot; (indicando que están preparados para aceptar tanto SSHv1 como SSHv2). Esto se rompió en OpenSSH 7.6 durante la eliminación del soporte de SSHv1. bz # 2810
• ssh (1): advierte cuando el agente devuelve una firma ssh-rsa (SHA1) cuando se solicita una firma rsa-sha2-256 / 512. Esta condición es posible cuando un agente antiguo o no OpenSSH está en uso. bz # 2799
• ssh-agent (1): corrección de la introducción de la regresión en 7.6 que provocó que ssh-agent saliera fatalmente si se presentaba un mensaje de solicitud de firma no válido.
• sshd_config (5): acepte las opciones de indicador sí / no con distinción entre mayúsculas y minúsculas, como ha sido el caso en ssh_config (5) durante mucho tiempo. bz # 2664
• ssh (1): mejora la notificación de errores por fallas durante la conexión. Bajo algunas circunstancias los errores engañosos se estaban mostrando. bz # 2814
• ssh-keyscan (1): opción Add-D para permitir la impresión de resultados directamente en formato SSHFP. bz # 2821
• pruebas de regresión: corrija la prueba de interconexión de PuTTY interrumpida en la eliminación SSHv1 de la última versión. bz # 2823
• ssh (1): corrección de compatibilidad para algunos servidores que erróneamente eliminan la conexión cuando se envía la opción IUTF8 (RFC8160).
• scp (1): deshabilita RemoteCommand y RequestTTY en la sesión ssh iniciada por scp (sftp ya estaba haciendo esto).
• ssh-keygen (1): se niega a crear un certificado con un número inutilizable de principales.
• ssh-keygen (1): salir fatalmente si ssh-keygen no puede escribir toda la clave pública durante la generación de la clave. Anteriormente, ignoraba silenciosamente los errores al escribir el comentario y al finalizar la nueva línea.
• ssh (1): no modifique los argumentos del nombre de host que son direcciones forzándolos automáticamente a minúsculas. En su lugar, puede canonicalizarlas para resolver ambigüedades (por ejemplo, :: 0001 = & gt; :: 1) antes de que coincidan con known_hosts. bz # 2763
• ssh (1): no acepte basura después de & quot; sí & quot; o & quot; no & quot; respuestas a las indicaciones de la clave del host. bz # 2803
• sftp (1): Haga que sftp imprima una advertencia acerca de la limpieza de la carcasa al decodificar el primer paquete que falla, que generalmente es causado por las cubiertas que contaminan la salida estándar de las iniciaciones no interactivas. bz # 2800
• ssh (1) / sshd (8): Cambia los temporizadores en código de paquete de tiempo de reloj de pared a tiempo monotónico, permitiendo que la capa de paquete funcione mejor durante un paso de reloj y evite posibles desbordamientos de enteros durante los pasos.
• Numerosas correcciones de página manuales y mejoras.
• LibreSSL 2.7.2
• Se agregó soporte para muchas API OpenSSL 1.0.2 y 1.1, basadas en observaciones del uso del mundo real en las aplicaciones. Estos se implementan en paralelo con las API existentes de OpenSSL 1.0.1. No se han realizado cambios de visibilidad en las estructuras existentes, lo que permite que el código escrito para las API OpenSSL antiguas continúe funcionando.
• Extensas correcciones, mejoras y adiciones a la documentación de API, incluidas nuevas API públicas de OpenSSL que no tenían documentación preexistente.
• Se agregó compatibilidad para la inicialización automática de la biblioteca en libcrypto, libssl y libtls. Ahora se requiere soporte para pthread_once o un equivalente compatible del sistema operativo de destino. Como efecto secundario, el soporte mínimo de Windows es Vista o superior.
• Se convirtieron más métodos de manejo de paquetes en CBB, lo que mejora la resistencia al generar mensajes TLS.
• Reescribió la corrección de la extensión de TLS completada, lo que mejora la coherencia de las comprobaciones de las extensiones mal formadas y duplicadas.
• Reescribió ASN1_TYPE_ {get, set} _octetstring () utilizando ASN.1 con plantilla. Esto elimina el último uso restante de las antiguas macros M_ASN1_ * (asn1_mac.h) de la API que debe continuar existiendo.
• Se agregó soporte para la reanudación de la sesión del lado del cliente en libtls. Un cliente libtls puede especificar un descriptor de archivo de sesión (un archivo regular con propiedad y permisos apropiados) y libtls administrará la lectura y escritura de datos de sesión a través de los handshakes de TLS.
• Soporte mejorado para una alineación estricta en las arquitecturas ARMv7, habilitando condicionalmente el ensamblaje en esos casos.
• Se corrigió una pérdida de memoria en libtls cuando se reutilizaba un tls_config.
• Fusionó más compatibilidad con DTLS en la ruta del código TLS regular, eliminando el código duplicado.
• Puertos y paquetes:
• dpb (1) y los puertos normales (7) ahora pueden disfrutar del mismo modelo de privilegios separados configurando PORTS_PRIVSEP = Yes
• Muchos paquetes preconstruidos para cada arquitectura:
• aarch64: 7990
• alfa: 1
• amd64: 9912
• brazo: XXXX
• hppa: XXXX
• i386: 9861
• mips64: 8149
• mips64el: XXXX
• powerpc: XXXX
• sh: 1
• sparc64: XXXX
• Algunos aspectos destacados:
• AFL 2.52b
• CMake 3.10.2
• Chromium 65.0.3325.181
• Emacs 21.4 y 25.3
• GCC 4.9.4
• GHC 8.2.2
• Gimp 2.8.22
• GNOME 3.26.2
• Ir 1.10
• Groff 1.22.3
• JDK 8u144
• KDE 3.5.10 y 4.14.3 (más las actualizaciones principales de KDE4)
• LLVM / Clang 5.0.1
• LibreOffice 6.0.2.1
• Lua 5.1.5, 5.2.4 y 5.3.4
• MariaDB 10.0.34
• Mozilla Firefox 52.7.3esr y 59.0.2
• Mozilla Thunderbird 52.7.0
• Mutt 1.9.4 y NeoMutt 20180223
• Node.js 8.9.4
• Ocaml 4.03.0
• OpenLDAP 2.3.43 y 2.4.45
• PHP 5.6.34 y 7.0.28
• Postfix 3.3.0 y 3.4-20180203
• PostgreSQL 10.3
• Python 2.7.14 y 3.6.4
• R 3.4.4
• Ruby 2.3.6, 2.4.3 y 2.5.0
• Rust 1.24.0
• Sendmail 8.16.0.21
• SQLite3 3.22.0
• Sudo 1.8.22
• Tcl / Tk 8.5.19 y 8.6.8
• TeX Live 2017
• Vim 8.0.1589
• Xfce 4.12
• Como de costumbre, mejoras constantes en las páginas de manual y otra documentación.
• El sistema incluye los siguientes componentes principales de proveedores externos:
• Xenocara (basado en X.Org 7.7 con xserver 1.19.6 + parches, freetype 2.8.1, fontconfig 2.12.4, Mesa 13.0.6, xterm 330, xkeyboard-config 2.20 y más)
• LLVM / Clang 5.0.1 (+ parches)
• GCC 4.2.1 (+ parches) y 3.3.6 (+ parches)
• Perl 5.24.3 (+ parches)
• NSD 4.1.20
• Sin consolidar 1.6.8
• Ncurses 5.7
• Binutils 2.17 (+ parches)
• Gdb 6.3 (+ parches)
• Awk 10 de agosto de 2011 versión
• Expatriado 2.2.5

Qué hay de nuevo en la versión 6.2:

• Plataformas nuevas / ampliadas:
• armv7:
• Se agregó el gestor de arranque EFI, los kernels ahora se cargan desde FFS en lugar de sistemas de archivos FAT o EXT, sin encabezados de arranque en U.
• Ahora se usan un solo kernel y ramdisk para todos los SoC.
• El hardware se enumera dinámicamente a través del Árbol de dispositivos aplanado (FDT) en lugar de a través de tablas estáticas basadas en los números de identificación de la placa.
• Las imágenes del instalador Miniroot incluyen U-Boot 2016.07 con soporte para cargas útiles EFI.
• vax:
• Eliminado.
• Soporte de hardware mejorado, que incluye:
• Nuevo controlador bytgpio (4) para el controlador Intel Bay Trail GPIO.
• Nuevo controlador chvgpio (4) para el controlador Intel Cherry View GPIO.
• Nuevo controlador maxrtc (4) para el reloj de tiempo real Maxim DS1307.
• Nuevo controlador nvme (4) para la interfaz del controlador de host Non-Volatile Memory Express (NVMe).
• Nuevo controlador pcfrtc (4) para el reloj en tiempo real NXP PCF8523.
• Nuevo controlador umb (4) para el modelo de interfaz de banda ancha móvil (MBIM).
• Nuevo controlador ure (4) para dispositivos Ethernet 10/100 USB basados ​​en RealTek RTL8152.
• Nuevo controlador utvfu (4) para dispositivos de captura de audio / video basados ​​en Fushicai USBTV007.
• El controlador iwm (4) ahora es compatible con los dispositivos Intel Wireless 3165 y 8260, y funciona de manera más fiable en los núcleos RAMDISK.
• Se agregó a Dwiic (4) la compatibilidad con dispositivos I2C HID con interrupciones señaladas GPIO.
• Se ha agregado soporte para anchos de bus más grandes, modos de alta velocidad y transferencias DMA a sdmmc (4), rtsx (4), sdhc (4) e imxesdhc (4).
• Compatibilidad con controladores USB compatibles con EHCI y OHCI en los SoC Octeon II.
• Muchos controladores de dispositivos USB se han habilitado en OpenBSD / octeon.
• Soporte mejorado para implementaciones de ACPI con hardware reducido.
• Soporte mejorado para implementaciones de ACPI 5.0.
• AES-NI crypto ahora se hace sin mantener el bloqueo del kernel.
• Compatibilidad mejorada con AGP en máquinas PowerPC G5.
• Se agregó soporte para la ranura de tarjeta SD en Intel Bay Trail SoC.
• El controlador ichiic (4) ahora ignora la interrupción # SMBALERT para evitar una tormenta de interrupción con implementaciones de BIOS defectuosas.
• Se han solucionado los problemas de conexión del dispositivo con el controlador axen (4).
• El controlador ral (4) es más estable bajo carga con dispositivos RT2860.
• Los problemas con los teclados muertos después de la reanudación se han solucionado en el controlador pckbd (4).
• El controlador rtsx (4) ahora admite dispositivos RTS522A.
• Se agregó soporte inicial para MSI-X.
• Admite MSI-X en el controlador virtio (4).
• Se agregó una solución para sobrepasar DMA de hardware al controlador dc (4).
• El controlador acpitz (4) ahora gira el ventilador hacia abajo después de enfriarse si ACPI usa histéresis para enfriamiento activo.
• El controlador xhci (4) ahora realiza el traspaso desde un BIOS compatible con xHCI correctamente.
• Se ha agregado compatibilidad para entrada multitáctil al controlador wsmouse (4).
• El controlador uslcom (4) ahora es compatible con la consola serie de los controladores inalámbricos 7xxx de Aruba.
• El controlador re (4) ahora funciona en configuraciones de LED rotas en EEPROM APU1.
• El controlador ehci (4) ahora soluciona los problemas con los controladores USB ATI (por ejemplo, SB700).
• El controlador xen (4) ahora admite la configuración de domU bajo Qubes OS.
• Mejoras en la pila inalámbrica IEEE 802.11:
• La lógica del búfer de recepción del bloque HT sigue el algoritmo dado en la especificación 802.11-2012 más de cerca.
• El controlador iwn (4) ahora realiza un seguimiento de los cambios de protección HT mientras está asociado a un 11n AP.
• La pila inalámbrica y varios controladores hacen un uso más agresivo de RTS / CTS para evitar la interferencia de dispositivos heredados y nodos ocultos.
• El comando netstat (1) -W ahora muestra información sobre eventos 802.11n.
• En el modo hostap, no reutilice los ID de asociación de los nodos que aún están en caché. Se soluciona un problema en el que un punto de acceso que utiliza el controlador ral (4) se atasca a 1 Mbps porque la contabilidad de tasa de transmisión se producía en el objeto de nodo incorrecto.
• Mejoras en la pila de red genérica:
• La tabla de enrutamiento ahora se basa en ART y ofrece una búsqueda más rápida.
• El número de búsqueda de ruta por paquete se ha reducido a 1 en la ruta de reenvío.
• El campo prio en los encabezados de la VLAN ahora está configurado correctamente en cada fragmento de un paquete IPv4 que sale en una interfaz vlan (4).
• Clonación de dispositivo habilitado para bpf (4). Esto permite que el sistema tenga solo un nodo de dispositivo bpf en / dev que brinde servicios a todos los consumidores de bpf (hasta 1024).
• La cola Tx del controlador cnmac (4) ahora se puede procesar en paralelo con el resto del kernel.
• La ruta de entrada de red ahora se ejecuta en el contexto del hilo.
• Mejoras del instalador:
• lista actualizada de códigos de usuario restringidos
• install.sh y upgrade.sh fusionados en install.sub
• update ejecuta automáticamente sysmerge (8) en modo batch antes de fw_update (1)
• las preguntas y respuestas se registran en un formato que se puede usar como un archivo de respuesta para su uso por autoinstall (8)
• / usr / local está establecido en wxallowed durante la instalación
• Daemons de enrutamiento y otras mejoras de redes de usuarios:
• Agregue soporte de tabla de enrutamiento a rc.d (8) y rcctl (8).
• Deje que nc (1) admita nombres de servicios además de los números de puerto.
• Agregue indicadores -M-y TTL a nc (1).
• Agregue soporte de AF_UNIX a tcpbench (1).
• Se corrigió una regresión en rarpd (8). El daemon podría colgarse si estuvo inactivo durante mucho tiempo.
• Agregó la opción llprio en ifconfig (8).
• Se han modificado varios programas que usan bpf (4) para aprovechar la clonación del dispositivo bpf (4) al abrir / dev / bpf0 en lugar de pasar por los dispositivos / dev / bpf *. Estos programas incluyen arp (8), dhclient (8), dhcpd (8), dhcrelay (8), hostapd (8), mopd (8), npppd (8), rarpd (8), rbootd (8) y tcpdump (8) La biblioteca libpcap también se ha modificado en consecuencia.
• Mejoras de seguridad:
• W ^ X ahora se aplica estrictamente de forma predeterminada; un programa solo puede violarlo si el ejecutable está marcado con PT_OPENBSD_WXNEEDED y está ubicado en un sistema de archivos montado con la opción de montaje wxallowed (8). Debido a que todavía hay demasiados puertos que infringen W ^ X, el instalador monta el sistema de archivos / usr / local con wxallowed. Esto permite que el sistema base sea más seguro siempre que / usr / local sea un sistema de archivos separado. Si no usa W ^ X violando programas, considere revocar manualmente esa opción.
• La familia de funciones setjmp (3) aplica ahora las cookies XOR para apilar y devolver los valores de las direcciones en jmpbuf en amd64, hppa, i386, mips64 y powerpc.
• Mitigación de SROP: sigreturn (2) ahora solo puede ser utilizado por el trampolín de señales provisto por el kernel, con una cookie para detectar intentos de reutilización.
• Para disuadir exploits de reutilización de código, rc (8) vuelve a vincular libc.so en el inicio, colocando los objetos en un orden aleatorio.
• En la familia de funciones getpwnam (3), detenga la apertura de la base de datos de forma predeterminada.
• Permita que tcpdump (8) -r se inicie sin privilegios de root.
• Eliminar systrace.
• Elimina la compatibilidad de emulación de Linux.
• Eliminar soporte para la opción de montaje de usuario.
• El caché TCP SYN vuelve a resecar su función hash aleatoria de vez en cuando. Esto evita que un atacante calcule la distribución de la función hash con un ataque de temporización.
• Para trabajar contra los ataques de inundación SYN, el administrador puede cambiar el tamaño de la matriz de hash ahora. netstat (1) -s -p tcp muestra la información relevante para sintonizar el caché SYN con sysctl (8) net.inet.tcp.
• El administrador puede requerir privilegios de administrador para vincular algunos puertos TCP y UDP con sysctl (8) net.inet.tcp.rootonly y sysctl (8) net.inet.udp.rootonly.
• Elimina un puntero de función de la estructura de datos mbuf (9) y, en su lugar, usa un índice en una matriz de funciones aceptables.
• Mejoras variadas:
• La biblioteca de subprocesos ahora se puede cargar en un proceso de subproceso único.
• Mejorado el manejo de símbolos y el cumplimiento de estándares en libc. Por ejemplo, definir una función open () ya no interferirá con la operación de fopen (3).

Las secciones
• PT_TLS ahora son compatibles con objetos cargados inicialmente.
• Manejo mejorado de & quot; no hay rutas & quot; y & quot; ruta vacía & quot; en fts (3).
• En pcap (3), proporcione las funciones pcap_free_datalinks () y pcap_offline_filter ().
• Muchas correcciones de errores y limpieza estructural en la biblioteca editline (3).
• Eliminar funciones dbm antiguas (3); ndbm (3) permanece.
• Agregue la palabra clave setenv para un manejo de entorno más potente en doas.conf (5).
• Agregue las opciones -g y -p a aucat.1 para el posicionamiento de tiempo.
• Reescribe audioctl (1) con una interfaz de usuario más simple.
• Agregue la opción -F para instalar (1) en fsync (2) el archivo antes de cerrarlo.
• kdump (1) ahora vuelca las estructuras pollfd.
• Mejora varios detalles del cumplimiento de ksh (1) POSIX.
• mknod (8) reescrito con un estilo amigable (2) y compatible con la creación de varios dispositivos a la vez.
• Implemente rcctl (8) obtenga todo y obtenga todo.
• Implemente el indicador rcs (1) -I (interactivo).
• En rcs (1), implemente la sustitución de palabra clave Mdocdate.
• En la parte superior (1), permita filtrar los argumentos del proceso si se muestran.
• Se agregó compatibilidad con UTF-8 para fold (1) y rev (1).
• Habilita UTF-8 de forma predeterminada en xterm (1) y pod2man (1).
• Filtra los caracteres que no son ASCII en la pared (1).
• Maneja la variable de entorno COLUMNS consistentemente en muchos programas.
• Las opciones -c y -k permiten proporcionar certificados de cliente TLS para syslogd (8) en el lado de envío. Con eso, el lado receptor puede verificar que los mensajes de registro sean auténticos. Tenga en cuenta que syslogd aún no cuenta con esta función de verificación.
• Cuando el búfer de klog se desborda, syslogd escribirá un mensaje de registro para mostrar que faltan algunas entradas.
• En OpenBSD / octeon, el almacenamiento en búfer de la memoria caché de la CPU está habilitado para mejorar el rendimiento.
• pkg_add (1) y pkg_info (1) ahora entienden una noción de rama para facilitar la selección de algunos paquetes populares como python o php, por ejemplo, digamos pkg_add python% 3.4 para seleccionar la rama 3.4, y use pkg_info -zm para obtener una lista difusa con la selección de sucursales adecuada para pkg_add -l.
• fdisk (8) y pdisk (8) salen inmediatamente a menos que pasen un dispositivo especial de caracteres
• st (4) rastrea correctamente el recuento de bloques actual para bloques de tamaño variable
• fsck_ext2fs (8) funciona de nuevo
• los volúmenes de softraid (4) se pueden construir con discos que tienen un tamaño de sector distinto de 512 bytes
• dhclient (8) DECLINE y descarta OFERTA no utilizada.
• dhclient (8) sale inmediatamente si su interfaz (por ejemplo, un puente (4)) devuelve EAFNOSUPPORT cuando se envía un paquete.
• httpd (8) devuelve 400 solicitudes incorrectas para solicitudes HTTP v0.9.
• la inicialización del nodo perezoso de ffs2 evita el tratamiento de datos de disco aleatorios como un inode
• Las invocaciones de fcntl (2) en los programas base usan el idioma fcntl (n, F_GETFL) en lugar de fcntl (n, F_GETFL, 0)

Las invocaciones de
• socket (2) y accept4 (2) en programas base usan SOCK_NONBLOCK para eliminar la necesidad de un fcntl (2) por separado.
• tmpfs no habilitados de forma predeterminada
• la semántica en el kernel de pledge (2) se mejoró de muchas maneras. Los puntos destacados incluyen: una nueva promesa chown que permite a los programas comprometidos establecer atributos de setugid, una aplicación más estricta de la promesa de recvfd y chroot (2) ya no está permitida para los programas comprometidos.
• se corrigieron varios errores relacionados con el compromiso (2) (promesas faltantes, cambios involuntarios de comportamiento, bloqueos), especialmente en gzip (1), nc (1), sed (1), skeyinit (1), stty (1) y varias utilidades relacionadas con el disco, como disklabel (8) y fdisk (8).
• Se han corregido los errores de cálculo de tamaño de bloque en el controlador de audio (4).
• El controlador usb (4) ahora almacena en caché el vendedor y los ID de producto. Soluciona un problema por el que usbdevs (8) llamado en un bucle provocaría que un dispositivo de almacenamiento masivo USB detuviera la operación.
• Los controladores rsu (4) y ural (4) ahora están funcionando nuevamente después de que se rompieron accidentalmente en 5.9.
• OpenSMTPD 6.0.0
• Seguridad:
• Implementa el patrón fork + exec en smtpd (8).
• Soluciona un problema de lógica en la máquina de estado SMTP que puede generar un estado no válido y provocar un bloqueo.
• Conecta una fuga de archivo-puntero que puede llevar al agotamiento de los recursos y provocar un bloqueo.
• Use parámetros DH automáticos en lugar de los fijos.
• Desactiva DHE de forma predeterminada ya que es computacionalmente costoso y un posible vector DoS.
• Las siguientes mejoras se presentaron en la versión 6.2:
• Agregue la opción -r al enqueuer smtpd (8) para compatibilidad con mailx.
• Agregue la fecha faltante o ID de mensaje cuando escuche en el puerto de envío.
• Corregir & quot; smtpctl mostrar cola & quot; informes & quot; no válido & quot; estado del sobre.
• Vuelva a trabajar el formato de & quot; Recibido & quot; encabezado para que la parte TLS no viole el RFC.
• Aumente el número de conexiones que permite establecer una dirección local y disminuya la demora entre las transacciones en la misma sesión.
• Repara la entrega de LMTP a los servidores que devuelven las líneas de continuación.
• Mejore aún más la API de filtro todavía experimental y solucione varios problemas relacionados.
• Comience a mejorar y unificar el formato de los mensajes de registro.
• Soluciona varias discrepancias de documentación y errores tipográficos en las páginas man.
• OpenSSH 7.3
• Seguridad:
• sshd (8): mitigue un posible ataque de denegación de servicio contra la función crypt (3) del sistema a través de sshd (8). Un atacante podría enviar contraseñas muy largas que causarían un uso excesivo de la CPU en crypt (3). sshd (8) ahora se niega a aceptar solicitudes de autenticación con contraseña de longitud superior a 1024 caracteres.
• sshd (8): Mitigue las diferencias de tiempo en la autenticación de contraseñas que podrían utilizarse para discernir nombres de cuenta válidos de inválidos cuando se enviaron contraseñas largas y algoritmos de hash de contraseñas particulares en uso en el servidor. CVE-2016-6210.
• ssh (1), sshd (8): corrige la debilidad observable en el tiempo en las contramedidas de oráculo de relleno de CBC. Tenga en cuenta que las cifras CBC están deshabilitadas de manera predeterminada y solo se incluyen para la compatibilidad heredada.
• ssh (1), sshd (8): mejora el orden de la verificación MAC para el algoritmo MAC de transporte en modo Encrypt-then-MAC (EtM) para verificar el MAC antes de descifrar cualquier texto cifrado. Esto elimina la posibilidad de que las diferencias de tiempo filtren datos sobre el texto sin formato, aunque no se conoce ninguna filtración de este tipo.
• Funciones nuevas / modificadas:
• ssh (1): agregue una opción ProxyJump y la correspondiente marca de línea de comando -J para permitir la indirección simplificada a través de uno o más bastiones SSH o & quot; jump hosts & quot;.
• ssh (1): agregue una opción IdentityAgent para permitir especificar los sockets de agentes específicos en lugar de aceptar uno del entorno.
• ssh (1): Permitir que ExitOnForwardFailure y ClearAllForwardings se anulen opcionalmente al usar ssh -W. (bz # 2577)
• ssh (1), sshd (8): implementa la compatibilidad para el modo de terminal IUTF8 según draft-sgtatham-secsh-iutf8-00.
• ssh (1), sshd (8): agregue soporte para grupos Diffie-Hellman 2K, 4K y 8K fijos adicionales de draft-ietf-curdle-ssh-kex-sha2-03.
• ssh-keygen (1), ssh (1), sshd (8): admite firmas RSA SHA256 y SHA512 en certificados.
• ssh (1): agregue una directiva de inclusión para los archivos ssh_config (5).
• ssh (1): permite caracteres UTF-8 en pancartas de autenticación previa enviadas desde el servidor. (bz # 2058)
• Los siguientes errores importantes se han solucionado en la versión 6.2:
• En scp (1) y sftp (1), evite atornillar la configuración del terminal escapando bytes que no forman caracteres ASCII o UTF-8.
• ssh (1), sshd (8): reduce el nivel syslog de algunos eventos de protocolo relativamente comunes de LOG_CRIT. (bz # 2585)
• sshd (8): rechazar AuthenticationMethods = & quot; & quot; en configuraciones y aceptar AuthenticationMethods = any para el comportamiento predeterminado de no requerir autenticación múltiple. (bz # 2398)
• sshd (8): eliminar obsoleto y engañoso & quot; POSIBLE INTENTO DE INTERRUPCIÓN & quot; mensaje cuando DNS directo e inverso no coinciden. (bz # 2585)
• ssh (1): cierre el proceso de fondo de ControlPersist stderr, excepto en el modo de depuración o al iniciar sesión en syslog. (bz # 1988)
• misc: la descripción de PROTOCOL para los mensajes directos del canal direct-streamlocal@openssh.com coincide con el código desplegado. (bz # 2529)
• ssh (1): Deduplica las entradas LocalForward y RemoteForward para corregir fallas cuando están habilitadas la canonicalización tanto ExitOnForwardFailure como hostname. (bz # 2562)
• sshd (8): elimina el retorno de los módulos a obsoletos & quot; primos & quot; archivo que estaba en desuso en 2001. (bz # 2559)
• sshd_config (5): descripción correcta de UseDNS: afecta el procesamiento del nombre de host ssh para authorized_keys, not known_hosts. (bz # 2554)
• ssh (1): corrige la autenticación utilizando claves de certificado únicas en un agente sin claves privadas correspondientes en el sistema de archivos. (bz # 2550)
• sshd (8): envía ping de ClientAliveInter cuando se establece un RekeyLimit basado en el tiempo; previamente paquetes keepalive no fueron enviados. (bz # 2252)
• OpenNTPD 6.0
• cuando una restricción & quot; única & quot; se especifica, intente todas las direcciones devueltas hasta que tenga éxito, en lugar de la primera dirección devuelta.
• Relajó el margen de error de restricción para que sea proporcional al número de pares NTP, evite las reconexiones constantes cuando hay un par NTP malo.
• Se eliminó el hotplug desactivado (4) soporte del sensor.
• Se agregó soporte para detectar bloqueos en subprocesos de restricción.
• Movió la ejecución de las restricciones desde el proceso ntp al proceso principal, lo que permite una mejor separación de privilegios, ya que el proceso ntp puede restringirse aún más.
• Se corrigió el uso elevado de la CPU cuando la red no funciona.
• Se corrigieron varias fugas de memoria.
• Cambiado a RMS para cálculos de inestabilidad.
• Funciones de registro unificadas con otros programas base de OpenBSD.
• Configure MOD_MAXERROR para evitar el estado de tiempo no sincronizado al usar ntp_adjtime.
• Se corrigió el análisis del encabezado HTTP Timestamp para usar strptime (3) de una manera más portátil.
• TLS endurecido para restricciones ntpd (8), lo que permite la verificación del nombre del servidor.
• LibreSSL 2.4.2
• Funciones visibles para el usuario:
• Se corrigieron algunos enlaces de página de manual rotos en el destino de instalación.
• cert.pem se reorganizó y sincronizó con el almacén de certificados de Mozilla.
• Solución de fiabilidad, que corrige un error al analizar ciertos elementos ASN.1 de más de 16k de tamaño.
• Implementé las suites de cifrado IETF ChaCha20-Poly1305.
• Se corrigieron las solicitudes de contraseña de openssl (1) para manejar correctamente ^ C.
• Mejoras del código:
• Se corrigió un problema de compatibilidad con nginx al agregar un destino de compilación 'install_sw'.
• Cambió la implementación predeterminada de EVP_aead_chacha20_poly1305 (3) a la versión de IETF, que ahora es la predeterminada.
• Tratamiento de errores revisado en libtls para que los errores de configuración sean más visibles.
• Agregó el manejo de error faltante alrededor de bn_wexpand (3) llamadas.
• Se agregaron llamadas explícitas_bzero (3) para liberar objetos ASN.1.
• Se corrigieron las funciones de X_509_ * set_object para devolver 0 en la falla de asignación.
• Uso interno obsoleto de EVP_ [Cipher | Encrypt | Decrypt] _Final.
• Se corrigió un problema que evita que el algoritmo de firma de DSA se ejecute en tiempo constante, incluso si se establece el indicador BN_FLG_CONSTTIME.
• Se corrigieron varios problemas en el código OCSP que podrían dar como resultado la generación incorrecta y el análisis de las solicitudes OCSP. Esto soluciona la falta de comprobación de errores en el análisis del tiempo en estas funciones y garantiza que solo se acepten formatos GENERALIZEDTIME para OCSP, según RFC 6960.
• Se han solucionado los siguientes CVE:
• CVE-2016-2105-EVP_EncodeUpdate overflow.
• CVE-2016-2106-EVP_EncryptUpdate overflow.
• CVE-2016-2107-orificio de relleno en AES-NI CBC MAC check.
• CVE-2016-2108-corrupción de memoria en el codificador ASN.1.
• CVE-2016-2109-ASN.1 BIO asignación de memoria excesiva.
• Puertos y paquetes:
• Nueva herramienta de prox (1) en el árbol de puertos para compilar paquetes en un chroot.
• Muchos paquetes preconstruidos para cada arquitectura:
• alfa: 7422
• amd64: 9433
• hppa: 6346
• i386: 9394
• mips64: 7921
• mips64el: 7767
• powerpc: 8318
• sparc64: 8570
• Algunos aspectos destacados:
• Afl 2.19b
• Chromium 51.0.2704.106
• Emacs 21.4 y 24.5
• GCC 4.9.3
• GHC 7.10.3
• The Gimp 2.8.16
• GNOME 3.20.2
• Ir 1.6.3
• Groff 1.22.3
• 7u80 JDK y 8u72
• KDE 3.5.10 y 4.14.3 (más actualizaciones de núcleo KDE4)
• LLVM / Clang 3.8.0
• LibreOffice 5.1.4.2
• Lua 5.1.5, 5.2.4, y 5.3.3
• MariaDB 10.0.25
• Mono 4.4.0.182
• Mozilla Firefox 47.0.1 y 45.2.0esr
• Mozilla Thunderbird 45.2.0
• Mutt 1.6.2
• Node.js 4.4.5
• Ocaml 4.3.0
• OpenLDAP 3.2.43 y 4.2.44
• PHP 5.5.37, 5.6.23, y 7.0.8
• Postfix 3.1.1 y 3,2-20.160.515
• PostgreSQL 9.5.3
• Python 2.7.12, 3.4.5, y 3.5.2
• R 3.3.1
• Rubí 1.8.7.374, 2.0.0.648, 2.1.9, 2.2.5, y 2.3.1
• Rust 1.9.0-20160608
• Sendmail 8.15.2
• Sudo 1.8.17.1
• Tcl / Tk 8.5.18 y 8.6.4
• TeX Live 2015
• Vim 07/04/1467
• Xfce 4.12
• Como de costumbre, las constantes mejoras en las páginas de manual y otra documentación.
• El sistema incluye los siguientes componentes principales de los proveedores exteriores:
• Xenocara (basado en X.Org 7.7 con xserver 1.18.3 + parches, freetype 2.6.3, 2.11.1 fontconfig, Mesa 11.2.2, xterm 322, xkeyboard-config 2,18 y más)
• GCC 4.2.1 (+ parches) y 3.3.6 (+ parches)
• Perl 5.20.3 (+ parches)
• SQLite 3.9.2 (+ parches)
• NSD 4.1.10
• Sin consolidar 1.5.9
• Ncurses 5.7
• Binutils 2.17 (+ parches)
• Gdb 6.3 (+ parches)
• Awk 10 de agosto de 2011 versión
• Expat 2.1.1

Qué hay de nuevo en la versión 6.1:

• Plataformas nuevas / ampliadas:
• armv7:
• Se agregó el gestor de arranque EFI, los kernels ahora se cargan desde FFS en lugar de sistemas de archivos FAT o EXT, sin encabezados de arranque en U.
• Ahora se usan un solo kernel y ramdisk para todos los SoC.
• El hardware se enumera dinámicamente a través del Árbol de dispositivos aplanado (FDT) en lugar de a través de tablas estáticas basadas en los números de identificación de la placa.
• Las imágenes del instalador Miniroot incluyen U-Boot 2016.07 con soporte para cargas útiles EFI.
• vax:
• Eliminado.
• Soporte de hardware mejorado, que incluye:
• Nuevo controlador bytgpio (4) para el controlador Intel Bay Trail GPIO.
• Nuevo controlador chvgpio (4) para el controlador Intel Cherry View GPIO.
• Nuevo controlador maxrtc (4) para el reloj de tiempo real Maxim DS1307.
• Nuevo controlador nvme (4) para la interfaz del controlador de host Non-Volatile Memory Express (NVMe).
• Nuevo controlador pcfrtc (4) para el reloj en tiempo real NXP PCF8523.
• Nuevo controlador umb (4) para el modelo de interfaz de banda ancha móvil (MBIM).
• Nuevo controlador ure (4) para dispositivos Ethernet 10/100 USB basados ​​en RealTek RTL8152.
• Nuevo controlador utvfu (4) para dispositivos de captura de audio y video basados ​​en Fushicai USBTV007.
• El controlador iwm (4) ahora es compatible con los dispositivos Intel Wireless 3165 y 8260, y funciona de manera más fiable en los núcleos RAMDISK.
• Se agregó a Dwiic (4) la compatibilidad con dispositivos I2C HID con interrupciones señaladas GPIO.
• Se ha agregado soporte para anchos de bus más grandes, modos de alta velocidad y transferencias DMA a sdmmc (4), rtsx (4), sdhc (4) e imxesdhc (4).
• Compatibilidad con controladores USB compatibles con EHCI y OHCI en los SoC Octeon II.
• Muchos controladores de dispositivos USB se han habilitado en OpenBSD / octeon.
• Soporte mejorado para implementaciones de ACPI con hardware reducido.
• Soporte mejorado para implementaciones de ACPI 5.0.
• AES-NI crypto ahora se hace sin mantener el bloqueo del kernel.
• Compatibilidad mejorada con AGP en máquinas PowerPC G5.
• Se agregó soporte para la ranura de tarjeta SD en Intel Bay Trail SoC.
• El controlador ichiic (4) ahora ignora la interrupción # SMBALERT para evitar una tormenta de interrupción con implementaciones de BIOS defectuosas.
• Se han solucionado los problemas de conexión del dispositivo con el controlador axen (4).
• El controlador ral (4) es más estable bajo carga con dispositivos RT2860.
• Los problemas con los teclados muertos después de la reanudación se han solucionado en el controlador pckbd (4).
• El controlador rtsx (4) ahora admite dispositivos RTS522A.
• Se agregó soporte inicial para MSI-X.
• Admite MSI-X en el controlador virtio (4).
• Se agregó una solución para sobrepasar DMA de hardware al controlador dc (4).
• El controlador acpitz (4) ahora gira el ventilador hacia abajo después de enfriarse si ACPI usa histéresis para enfriamiento activo.
• El controlador xhci (4) ahora realiza el traspaso desde un BIOS compatible con xHCI correctamente.
• Se ha agregado compatibilidad para entrada multitáctil al controlador wsmouse (4).
• El controlador uslcom (4) ahora es compatible con la consola serie de los controladores inalámbricos 7xxx de Aruba.
• El controlador re (4) ahora funciona en configuraciones de LED rotas en EEPROM APU1.
• El controlador ehci (4) ahora soluciona los problemas con los controladores USB ATI (por ejemplo, SB700).
• El controlador xen (4) ahora admite la configuración de domU bajo Qubes OS.
• Mejoras en la pila inalámbrica IEEE 802.11:
• La lógica del búfer de recepción del bloque HT sigue el algoritmo dado en la especificación 802.11-2012 más de cerca.
• El controlador iwn (4) ahora realiza un seguimiento de los cambios de protección HT mientras está asociado a un 11n AP.
• La pila inalámbrica y varios controladores hacen un uso más agresivo de RTS / CTS para evitar la interferencia de dispositivos heredados y nodos ocultos.
• El comando netstat (1) -W ahora muestra información sobre eventos 802.11n.
• En el modo hostap, no reutilice los ID de asociación de los nodos que aún están en caché. Se soluciona un problema en el que un punto de acceso que utiliza el controlador ral (4) se atasca a 1 Mbps porque la contabilidad de tasa de transmisión se producía en el objeto de nodo incorrecto.
• Mejoras en la pila de red genérica:
• La tabla de enrutamiento ahora se basa en ART y ofrece una búsqueda más rápida.
• El número de búsqueda de ruta por paquete se ha reducido a 1 en la ruta de reenvío.
• El campo prio en los encabezados de la VLAN ahora está configurado correctamente en cada fragmento de un paquete IPv4 que sale en una interfaz vlan (4).
• Clonación de dispositivo habilitado para bpf (4). Esto permite que el sistema tenga solo un nodo de dispositivo bpf en / dev que brinde servicios a todos los consumidores de bpf (hasta 1024).
• La cola Tx del controlador cnmac (4) ahora se puede procesar en paralelo con el resto del kernel.
• La ruta de entrada de red ahora se ejecuta en el contexto del hilo.
• Mejoras del instalador:
• lista actualizada de códigos de usuario restringidos
• install.sh y upgrade.sh fusionados en install.sub
• update ejecuta automáticamente sysmerge (8) en modo batch antes de fw_update (1)
• las preguntas y respuestas se registran en un formato que se puede usar como un archivo de respuesta para su uso por autoinstall (8)
• / usr / local está establecido en wxallowed durante la instalación
• Daemons de enrutamiento y otras mejoras de redes de usuarios:
• Agregue soporte de tabla de enrutamiento a rc.d (8) y rcctl (8).
• Deje que nc (1) admita nombres de servicios además de los números de puerto.
• Agregue indicadores -M-y TTL a nc (1).
• Agregue soporte de AF_UNIX a tcpbench (1).
• Se corrigió una regresión en rarpd (8). El daemon podría colgarse si estuvo inactivo durante mucho tiempo.
• Agregó la opción llprio en ifconfig (8).
• Se han modificado varios programas que usan bpf (4) para aprovechar la clonación del dispositivo bpf (4) al abrir / dev / bpf0 en lugar de pasar por los dispositivos / dev / bpf *. Estos programas incluyen arp (8), dhclient (8), dhcpd (8), dhcrelay (8), hostapd (8), mopd (8), npppd (8), rarpd (8), rbootd (8) y tcpdump (8) La biblioteca libpcap también se ha modificado en consecuencia.
• Mejoras de seguridad:
• W ^ X ahora se aplica estrictamente de forma predeterminada; un programa solo puede violarlo si el ejecutable está marcado con PT_OPENBSD_WXNEEDED y está ubicado en un sistema de archivos montado con la opción de montaje wxallowed (8). Debido a que todavía hay demasiados puertos que infringen W ^ X, el instalador monta el sistema de archivos / usr / local con wxallowed. Esto permite que el sistema base sea más seguro siempre que / usr / local sea un sistema de archivos separado. Si no usa W ^ X violando programas, considere revocar manualmente esa opción.
• La familia de funciones setjmp (3) aplica ahora las cookies XOR para apilar y devolver los valores de las direcciones en jmpbuf en amd64, hppa, i386, mips64 y powerpc.
• Mitigación de SROP: sigreturn (2) ahora solo puede ser utilizado por el trampolín de señales provisto por el kernel, con una cookie para detectar intentos de reutilización.
• Para disuadir exploits de reutilización de código, rc (8) vuelve a vincular libc.so en el inicio, colocando los objetos en un orden aleatorio.
• En la familia de funciones getpwnam (3), detenga la apertura de la base de datos de forma predeterminada.
• Permita que tcpdump (8) -r se inicie sin privilegios de root.
• Eliminar systrace.
• Elimina la compatibilidad de emulación de Linux.
• Eliminar soporte para la opción de montaje de usuario.
• El caché TCP SYN vuelve a resecar su función hash aleatoria de vez en cuando. Esto evita que un atacante calcule la distribución de la función hash con un ataque de temporización.
• Para trabajar contra los ataques de inundación SYN, el administrador puede cambiar el tamaño de la matriz de hash ahora. netstat (1) -s -p tcp muestra la información relevante para sintonizar el caché SYN con sysctl (8) net.inet.tcp.
• El administrador puede requerir privilegios de administrador para vincular algunos puertos TCP y UDP con sysctl (8) net.inet.tcp.rootonly y sysctl (8) net.inet.udp.rootonly.
• Elimina un puntero de función de la estructura de datos mbuf (9) y, en su lugar, usa un índice en una matriz de funciones aceptables.
• Mejoras variadas:
• La biblioteca de subprocesos ahora se puede cargar en un proceso de subproceso único.
• Mejorado el manejo de símbolos y el cumplimiento de estándares en libc. Por ejemplo, definir una función open () ya no interferirá con la operación de fopen (3).

Las secciones
• PT_TLS ahora son compatibles con objetos cargados inicialmente.
• Manejo mejorado de "no paths" y "empty path" en fts (3).
• En pcap (3), proporcione las funciones pcap_free_datalinks () y pcap_offline_filter ().
• Muchas correcciones de errores y limpieza estructural en la biblioteca editline (3).
• Eliminar funciones dbm antiguas (3); ndbm (3) permanece.
• Agregue la palabra clave setenv para un manejo de entorno más potente en doas.conf (5).
• Agregue las opciones -g y -p a aucat.1 para el posicionamiento de tiempo.
• Reescribe audioctl (1) con una interfaz de usuario más simple.
• Agregue la opción -F para instalar (1) en fsync (2) el archivo antes de cerrarlo.
• kdump (1) ahora vuelca las estructuras pollfd.
• Mejora varios detalles del cumplimiento de ksh (1) POSIX.
• mknod (8) reescrito con un estilo amigable (2) y compatible con la creación de varios dispositivos a la vez.
• Implemente rcctl (8) obtenga todo y obtenga todo.
• Implemente el indicador rcs (1) -I (interactivo).
• En rcs (1), implemente la sustitución de palabra clave Mdocdate.
• En la parte superior (1), permita filtrar los argumentos del proceso si se muestran.
• Se agregó compatibilidad con UTF-8 para fold (1) y rev (1).
• Habilita UTF-8 de forma predeterminada en xterm (1) y pod2man (1).
• Filtra los caracteres que no son ASCII en la pared (1).
• Maneja la variable de entorno COLUMNS consistentemente en muchos programas.
• Las opciones -c y -k permiten proporcionar certificados de cliente TLS para syslogd (8) en el lado de envío. Con eso, el lado receptor puede verificar que los mensajes de registro sean auténticos. Tenga en cuenta que syslogd aún no cuenta con esta función de verificación.
• Cuando el búfer de klog se desborda, syslogd escribirá un mensaje de registro para mostrar que faltan algunas entradas.
• En OpenBSD / octeon, el almacenamiento en búfer de la memoria caché de la CPU está habilitado para mejorar el rendimiento.
• pkg_add (1) y pkg_info (1) ahora entienden una noción de rama para facilitar la selección de algunos paquetes populares como python o php, por ejemplo, digamos pkg_add python% 3.4 para seleccionar la rama 3.4, y use pkg_info -zm para obtener una lista difusa con la selección de sucursales adecuada para pkg_add -l.
• fdisk (8) y pdisk (8) salen inmediatamente a menos que pasen un dispositivo especial de caracteres
• st (4) rastrea correctamente el recuento de bloques actual para bloques de tamaño variable
• fsck_ext2fs (8) funciona de nuevo
• los volúmenes de softraid (4) se pueden construir con discos que tienen un tamaño de sector distinto de 512 bytes
• dhclient (8) DECLINE y descarta OFERTA no utilizada.
• dhclient (8) sale inmediatamente si su interfaz (por ejemplo, un puente (4)) devuelve EAFNOSUPPORT cuando se envía un paquete.
• httpd (8) devuelve 400 solicitudes incorrectas para solicitudes HTTP v0.9.
• la inicialización del nodo perezoso de ffs2 evita el tratamiento de datos de disco aleatorios como un inode
• Las invocaciones de fcntl (2) en los programas base usan el idioma fcntl (n, F_GETFL) en lugar de fcntl (n, F_GETFL, 0)

Las invocaciones de
• socket (2) y accept4 (2) en programas base usan SOCK_NONBLOCK para eliminar la necesidad de un fcntl (2) por separado.
• tmpfs no habilitados de forma predeterminada
• la semántica en el kernel de pledge (2) se mejoró de muchas maneras. Los puntos destacados incluyen: una nueva promesa chown que permite a los programas comprometidos establecer atributos de setugid, una aplicación más estricta de la promesa de recvfd y chroot (2) ya no está permitida para los programas comprometidos.
• se corrigieron varios errores relacionados con el compromiso (2) (promesas faltantes, cambios involuntarios de comportamiento, bloqueos), especialmente en gzip (1), nc (1), sed (1), skeyinit (1), stty (1) y varias utilidades relacionadas con el disco, como disklabel (8) y fdisk (8).
• Se han corregido los errores de cálculo de tamaño de bloque en el controlador de audio (4).
• El controlador usb (4) ahora almacena en caché el vendedor y los ID de producto. Soluciona un problema por el que usbdevs (8) llamado en un bucle provocaría que un dispositivo de almacenamiento masivo USB detuviera la operación.
• Los controladores rsu (4) y ural (4) ahora están funcionando nuevamente después de que se rompieron accidentalmente en 5.9.
• OpenSMTPD 6.0.0
• Seguridad:
• Implementa el patrón fork + exec en smtpd (8).
• Soluciona un problema de lógica en la máquina de estado SMTP que puede generar un estado no válido y provocar un bloqueo.
• Conecta una fuga de archivo-puntero que puede llevar al agotamiento de los recursos y provocar un bloqueo.
• Use parámetros DH automáticos en lugar de los fijos.
• Desactiva DHE de forma predeterminada ya que es computacionalmente costoso y un posible vector DoS.
• Las siguientes mejoras se presentaron en la versión 6.1:
• Agregue la opción -r al enqueuer smtpd (8) para compatibilidad con mailx.
• Agregue la fecha faltante o ID de mensaje cuando escuche en el puerto de envío.
• Repara "smtpctl show queue" informando estado de sobre "inválido".
• Vuelva a trabajar el formato del encabezado "Recibido" para que la parte TLS no viole el RFC.
• Aumente el número de conexiones que permite establecer una dirección local y disminuya la demora entre las transacciones en la misma sesión.
• Repara la entrega de LMTP a los servidores que devuelven las líneas de continuación.
• Mejore aún más la API de filtro todavía experimental y solucione varios problemas relacionados.
• Comience a mejorar y unificar el formato de los mensajes de registro.
• Soluciona varias discrepancias de documentación y errores tipográficos en las páginas man.
• OpenSSH 7.3
• Seguridad:
• sshd (8): mitigue un posible ataque de denegación de servicio contra la función crypt (3) del sistema a través de sshd (8). Un atacante podría enviar contraseñas muy largas que causarían un uso excesivo de la CPU en crypt (3). sshd (8) ahora se niega a aceptar solicitudes de autenticación con contraseña de longitud superior a 1024 caracteres.
• sshd (8): Mitigue las diferencias de tiempo en la autenticación de contraseñas que podrían utilizarse para discernir nombres de cuenta válidos de inválidos cuando se enviaron contraseñas largas y algoritmos de hash de contraseñas particulares en uso en el servidor. CVE-2016-6210.
• ssh (1), sshd (8): corrige la debilidad observable en el tiempo en las contramedidas de oráculo de relleno de CBC. Tenga en cuenta que las cifras CBC están deshabilitadas de manera predeterminada y solo se incluyen para la compatibilidad heredada.
• ssh (1), sshd (8): mejora el orden de la verificación MAC para el algoritmo MAC de transporte en modo Encrypt-then-MAC (EtM) para verificar el MAC antes de descifrar cualquier texto cifrado. Esto elimina la posibilidad de que las diferencias de tiempo filtren datos sobre el texto sin formato, aunque no se conoce ninguna filtración de este tipo.
• Funciones nuevas / modificadas:
• ssh (1): agregue una opción ProxyJump y la correspondiente marca de línea de comando -J para permitir la indirección simplificada a través de uno o más bastiones SSH o "hosts de salto".
• ssh (1): agregue una opción IdentityAgent para permitir especificar los sockets de agentes específicos en lugar de aceptar uno del entorno.
• ssh (1): Permitir que ExitOnForwardFailure y ClearAllForwardings se anulen opcionalmente al usar ssh -W. (bz # 2577)
• ssh (1), sshd (8): implementa la compatibilidad para el modo de terminal IUTF8 según draft-sgtatham-secsh-iutf8-00.
• ssh (1), sshd (8): agregue soporte para grupos Diffie-Hellman 2K, 4K y 8K fijos adicionales de draft-ietf-curdle-ssh-kex-sha2-03.
• ssh-keygen (1), ssh (1), sshd (8): admite firmas RSA SHA256 y SHA512 en certificados.
• ssh (1): agregue una directiva de inclusión para los archivos ssh_config (5).
• ssh (1): permite caracteres UTF-8 en pancartas de autenticación previa enviadas desde el servidor. (bz # 2058)
• Los siguientes errores importantes se han corregido en la versión 6.1:
• En scp (1) y sftp (1), evite atornillar la configuración del terminal escapando bytes que no forman caracteres ASCII o UTF-8.
• ssh (1), sshd (8): reduce el nivel syslog de algunos eventos de protocolo relativamente comunes de LOG_CRIT. (bz # 2585)
• sshd (8): rechazar AuthenticationMethods = "" en configuraciones y aceptar AuthenticationMethods = any para el comportamiento predeterminado de no requerir autenticación múltiple. (bz # 2398)
• sshd (8): eliminar obsoleto y engañoso "¡POSIBLE INTENTO DE INTERRUPCIÓN!" mensaje cuando DNS directo e inverso no coinciden. (bz # 2585)
• ssh (1): cierre el proceso de fondo de ControlPersist stderr, excepto en el modo de depuración o al iniciar sesión en syslog. (bz # 1988)
• misc: la descripción de PROTOCOL para los mensajes directos del canal direct-streamlocal@openssh.com coincide con el código desplegado. (bz # 2529)
• ssh (1): Deduplica las entradas LocalForward y RemoteForward para corregir fallas cuando están habilitadas la canonicalización tanto ExitOnForwardFailure como hostname. (bz # 2562)
• sshd (8): elimina el respaldo de los módulos al archivo "primos" obsoleto que quedó en desuso en 2001. (bz # 2559)
• sshd_config (5): descripción correcta de UseDNS: afecta el procesamiento del nombre de host ssh para authorized_keys, not known_hosts. (bz # 2554)
• ssh (1): corrige la autenticación utilizando claves de certificado únicas en un agente sin claves privadas correspondientes en el sistema de archivos. (bz # 2550)
• sshd (8): envía ping de ClientAliveInter cuando se establece un RekeyLimit basado en el tiempo; previamente paquetes keepalive no fueron enviados. (bz # 2252)
• OpenNTPD 6.0
• Cuando se especifica una única "restricción", pruebe todas las direcciones devueltas hasta que tenga éxito, en lugar de la primera dirección devuelta.
• Relajó el margen de error de restricción para que sea proporcional al número de pares NTP, evite las reconexiones constantes cuando hay un par NTP malo.
• Se eliminó el hotplug desactivado (4) soporte del sensor.
• Se agregó soporte para detectar bloqueos en subprocesos de restricción.
• Movió la ejecución de las restricciones desde el proceso ntp al proceso principal, lo que permite una mejor separación de privilegios, ya que el proceso ntp puede restringirse aún más.
• Se corrigió el uso elevado de la CPU cuando la red no funciona.
• Se corrigieron varias fugas de memoria.
• Cambiado a RMS para cálculos de inestabilidad.
• Funciones de registro unificadas con otros programas base de OpenBSD.
• Configure MOD_MAXERROR para evitar el estado de tiempo no sincronizado al usar ntp_adjtime.
• Se corrigió el análisis del encabezado HTTP Timestamp para usar strptime (3) de una manera más portátil.
• TLS endurecido para restricciones ntpd (8), lo que permite la verificación del nombre del servidor.
• LibreSSL 2.4.2
• Funciones visibles para el usuario:
• Se corrigieron algunos enlaces de página de manual rotos en el destino de instalación.
• cert.pem se reorganizó y sincronizó con el almacén de certificados de Mozilla.
• Solución de fiabilidad, que corrige un error al analizar ciertos elementos ASN.1 de más de 16k de tamaño.
• Implementé las suites de cifrado IETF ChaCha20-Poly1305.
• Se corrigieron las solicitudes de contraseña de openssl (1) para manejar correctamente ^ C.
• Mejoras del código:
• Se corrigió un problema de compatibilidad con nginx al agregar un destino de compilación 'install_sw'.
• Cambió la implementación predeterminada de EVP_aead_chacha20_poly1305 (3) a la versión de IETF, que ahora es la predeterminada.
• Tratamiento de errores revisado en libtls para que los errores de configuración sean más visibles.
• Agregó el manejo de error faltante alrededor de bn_wexpand (3) llamadas.
• Se agregaron llamadas explícitas_bzero (3) para liberar objetos ASN.1.
• Se corrigieron las funciones de X_509_ * set_object para devolver 0 en la falla de asignación.
• Uso interno obsoleto de EVP_ [Cipher | Encrypt | Decrypt] _Final.
• Se corrigió un problema que evita que el algoritmo de firma de DSA se ejecute en tiempo constante, incluso si se establece el indicador BN_FLG_CONSTTIME.
• Se corrigieron varios problemas en el código OCSP que podrían dar como resultado la generación incorrecta y el análisis de las solicitudes OCSP. Esto soluciona la falta de comprobación de errores en el análisis del tiempo en estas funciones y garantiza que solo se acepten formatos GENERALIZEDTIME para OCSP, según RFC 6960.
• Se han solucionado los siguientes CVE:
• CVE-2016-2105-EVP_EncodeUpdate overflow.
• CVE-2016-2106-EVP_EncryptUpdate overflow.
• CVE-2016-2107-orificio de relleno en AES-NI CBC MAC check.
• CVE-2016-2108-corrupción de memoria en el codificador ASN.1.
• CVE-2016-2109-ASN.1 BIO asignación de memoria excesiva.
• Puertos y paquetes:
• Nueva herramienta de prox (1) en el árbol de puertos para compilar paquetes en un chroot.
• Muchos paquetes preconstruidos para cada arquitectura:
• alfa: 7422
• amd64: 9433
• hppa: 6346
• i386: 9394
• mips64: 7921
• mips64el: 7767
• powerpc: 8318
• sparc64: 8570
• Algunos aspectos destacados:
• Afl 2.19b
• Chromium 51.0.2704.106
• Emacs 21.4 y 24.5
• GCC 4.9.3
• GHC 7.10.3
• The Gimp 2.8.16
• GNOME 3.20.2
• Ir 1.6.3
• Groff 1.22.3
• 7u80 JDK y 8u72
• KDE 3.5.10 y 4.14.3 (más actualizaciones de núcleo KDE4)
• LLVM / Clang 3.8.0
• LibreOffice 5.1.4.2
• Lua 5.1.5, 5.2.4, y 5.3.3
• MariaDB 10.0.25
• Mono 4.4.0.182
• Mozilla Firefox 47.0.1 y 45.2.0esr
• Mozilla Thunderbird 45.2.0
• Mutt 1.6.2
• Node.js 4.4.5
• Ocaml 4.3.0
• OpenLDAP 3.2.43 y 4.2.44
• PHP 5.5.37, 5.6.23, y 7.0.8
• Postfix 3.1.1 y 3,2-20.160.515
• PostgreSQL 9.5.3
• Python 2.7.12, 3.4.5, y 3.5.2
• R 3.3.1
• Rubí 1.8.7.374, 2.0.0.648, 2.1.9, 2.2.5, y 2.3.1
• Rust 1.9.0-20160608
• Sendmail 8.15.2
• Sudo 1.8.17.1
• Tcl / Tk 8.5.18 y 8.6.4
• TeX Live 2015
• Vim 07/04/1467
• Xfce 4.12
• Como de costumbre, las constantes mejoras en las páginas de manual y otra documentación.
• El sistema incluye los siguientes componentes principales de los proveedores exteriores:
• Xenocara (basado en X.Org 7.7 con xserver 1.18.3 + parches, freetype 2.6.3, fontconfig 2.11.1, Mesa 11.2.2, xterm 322, xkeyboard-config 2.18 y más)
• GCC 4.2.1 (+ parches) y 3.3.6 (+ parches)
• Perl 5.20.3 (+ parches)
• SQLite 3.9.2 (+ parches)
• NSD 4.1.10
• Sin consolidar 1.5.9
• Ncurses 5.7
• Binutils 2.17 (+ parches)
• Gdb 6.3 (+ parches)
• Awk 10 de agosto de 2011 versión
• Expat 2.1.1