NetBSD 11.0 è disponibile, ma con qualche falla nota: tutti i dettagli sulla nuova release

Il team del progetto ha reso disponibile NetBSD 11.0, raggiungendo un nuovo traguardo per la nuova release principale per il sistema operativo Unix-like. Il lancio ha richiesto più tempo del previsto a causa dei lunghi tempi di attesa per l'integrazione dei componenti di terze parti e dei test di stabilità condotti sulle varie architetture supportate.

La novità più rilevante sul piano strategico risiede nell'inedita ammissione dei manutentori riguardante la gestione della sicurezza. Con l'aumento esponenziale delle segnalazioni di bug guidate da strumenti di intelligenza artificiale, il gruppo ha scelto di non rinviare ulteriormente il debutto, pubblicando la release pur in presenza di alcune vulnerabilità note.

Tra i problemi di sicurezza aperti figura un controllo degli accessi mancante sul driver hdaudio(4) per i comandi ioctl (PR 60492), che potrebbe consentire un'escalation di privilegi locali. La contromisura temporanea consiste semplicemente nel rimuovere i nodi `/dev/hdaudio*`, preservando comunque la funzionalità audio di base.

Le altre due falle identificate interessano i moduli ipfilter e pf, soggetti rispettivamente a un dereferenziamento di puntatore nullo (PR 60484) e a una condizione di use-after-free nella ricomposizione dei frammenti (PR 60485). Nessuno dei due sottosistemi di filtraggio pacchetti viene incluso nei kernel predefiniti e il modulo pf risulta peraltro deprecato, riducendo l'impatto reale per la maggior parte degli utenti. I dettagli completi sulle note di installazione e sui pacchetti sono consultabili sul sito ufficiale del progetto NetBSD con i relativi bollettini.

Le principali novità della nuova release

Sul fronte del supporto hardware, la novità di maggior peso è rappresentata dal debutto del supporto stabile per l'architettura RISC-V a 64 bit, con compatibilità per schede come StarFive VisionFive 2 e PINE64 STAR64 oltre che per l'emulazione QEMU. A questa si affianca il supporto iniziale per la piattaforma Qualcomm Snapdragon X Elite e per la nuova porta virtuale virt68k, pensata per emulare sistemi Motorola 68000 su QEMU. Numerosi anche i miglioramenti su ARM e x86, tra cui l'accelerazione grafica su dispositivi Allwinner e Raspberry Pi 5, nuovi sensori di temperatura per le più recenti CPU AMD e il supporto al boot PVH non-Xen.

Dal punto di vista del kernel e della virtualizzazione, spicca l'introduzione del nuovo kernel MICROVM per x86, ottimizzato per tempi di avvio delle macchine virtuali dell'ordine dei 10 millisecondi grazie a boot PVH e VirtIO MMIO. Il firewall npf(7) guadagna il filtraggio a livello 2 e la possibilità di applicare regole basate su utente e gruppo, mentre il sistema è stato aggiornato per una maggiore conformità agli standard POSIX.1-2024 e C23. Migliora inoltre lo strato di compatibilità con Linux, con il supporto a chiamate come epoll, statx, clone3 e inotify, e prosegue l'aggiornamento dei componenti di terze parti, tra cui OpenSSL 3.5.7, OpenSSH 10.3 e GCC 12.5.0.

Per quanto riguarda i supporti di installazione, l'organizzazione dei file ha subito una ristrutturazione mirata per venire incontro alle diverse esigenze hardware. Le immagini ISO sono state suddivise in versioni per CD-ROM inferiori a 700 MB e in pacchetti completi destinati a supporti DVD. Gli utenti di dispositivi flash come le chiavette USB devono invece utilizzare i file `.img` previa decompressione con strumenti quali gunzip o 7-Zip, mentre per le piattaforme ARM rimangono disponibili le immagini preconfigurate con il bootloader U-Boot.

Il processo di build e distribuzione dell'intero ecosistema è stato ulteriormente automatizzato, pur continuando a richiedere interventi manuali critici per la verifica e la firma crittografica delle hash da parte dello Security Officer. Il collo di bottiglia principale dell'infrastruttura resta il trasferimento via rete dei file binari per l'elevato numero di architetture supportate.

Tutti i fix relativi ai report pendenti saranno integrati a breve nel ramo stabile `netbsd-11` e confluiranno nell'imminente aggiornamento NetBSD 11.1. I manutentori puntano a rilasciare questa successiva revisione entro un paio di mesi, garantendo così la chiusura definitiva di tutte le segnalazioni emerse in fase di rilascio.