Viele Distributionen stellen ihre Paketquellen unter eine Lizenz. Arch Linux ist im Begriff, seine Paketquellen unter die sehr liberale 0BSD-Lizenz zu stellen.

Quelle

Archinstall bietet weniger versierten Anwendern erleichterten Zugang zu Arch Linux, ohne auf die Flexibilität der Distribution verzichten zu müssen. Gerade ist v3.0 des TUI-Installers erschienen.

Quelle

Mit Manjaro 24.1 alias Xahea die Entwickler der Arch-basierten Distribution eine neue Version für die Desktops Gnome, Plasma und Xfce bereit. Die Gnome-Ausgabe birgt diverse Updates für Gnome 46.

Arch Linux kann sich über eine direkte Zusammenarbeit mit Valve freuen, die eine großzügig Unterstützung für zwei Projekte beinhaltet.

Die Installation der Rolling-Release-Distribution Arch Linux übernimmt in der Regel Archinstall.

Mit Version 4.0.0 kommt Aura, ein Paketmanager für Arch Linux mit einfacherem Installationsprozess und mehr Leistung.

Aura, der alternative Paketmanager für Arch Linux und das AUR ist in Version 4.0 erschienen. Damit einher geht die Portierung von Haskell nach Rust, neue Befehle und ein neues Konfigurationsformat.

Quelle

Linux ist für seine Vielfalt an Distributionen bekannt, die unterschiedliche Schwerpunkte, Philosophien und Zielgruppen haben. Zwei der bekanntesten Distros passen zusammen wie Ying und Yang: Debian und Arch Linux. Trotz Gemeinsamkeiten könnten sie nicht unterschiedlicher sein. Doch es ist nicht alles so, wie es zunächst scheint. Debian: Die Stabilität und Zuverlässigkeit Debian ist eine der […]

Der Beitrag Debian oder Arch Linux? Was ist die bessre Wahl für Dich? erschien zuerst auf fosstopia.

Linux ist für seine Vielfalt an Distributionen bekannt, die unterschiedliche Schwerpunkte, Philosophien und Zielgruppen haben. Zwei der bekanntesten Distros passen zusammen wie Ying und Yang: Debian und Arch Linux. Trotz Gemeinsamkeiten könnten sie nicht unterschiedlicher sein. Doch es ist nicht alles so, wie es zunächst scheint. Debian: Die Stabilität und Zuverlässigkeit Debian ist eine der...

Der Beitrag Debian oder Arch Linux? Was ist die bessre Wahl für Dich? erschien zuerst auf MichlFranken.

Arch Linux gilt vielen als zu kompliziert und anspruchsvoll. Dies zeigt sich schon zu Beginn bei der Installation. Es gibt keinen grafischen Installer. Die Schritte müssen selbst durchgeführt werden. Doch mittlerweile gibt es ein offizielles Script, das die Installation etwas erleichtert. Genau um dieses Script geht es in diesem Beitrag. Viel Spaß. Dies ist ein...

Der Beitrag Arch Linux Installation via ArchInstall Script erschien zuerst auf MichlFranken.

Linux ist für seine Vielfalt an Distributionen bekannt, die unterschiedliche Schwerpunkte, Philosophien und Zielgruppen haben. Zwei der bekanntesten Distros passen zusammen wie Ying und Yang: Debian und Arch Linux. Trotz Gemeinsamkeiten könnten sie nicht unterschiedlicher sein. Doch es ist nicht alles so, wie es zunächst scheint. Debian: Die Stabilität und Zuverlässigkeit Debian ist eine der...

Der Beitrag Debian oder Arch Linux? Was ist die bessre Wahl für Dich? erschien zuerst auf MichlFranken.

Die auf Arch Linux basierende Distribution CachyOS bietet gleich drei interessante Neuerungen: Der Installationsassistent kann mit dem Bcachefs-Dateisystem umgehen, es gibt ein SDK für…

Arch Linux gilt vielen als zu kompliziert und anspruchsvoll. Dies zeigt sich schon zu Beginn bei der Installation. Es gibt keinen grafischen Installer. Die Schritte müssen selbst durchgeführt werden. Doch mittlerweile gibt es ein offizielles Script, das die Installation etwas erleichtert. Genau um dieses Script geht es in diesem Beitrag. Viel Spaß. Dies ist ein...

Der Beitrag Arch Linux Installation via ArchInstall Script erschien zuerst auf MichlFranken.

An Arch Linux streiten sich die Geister. Die einen finden es zu umständlich. Die anderen perfekt, weil es wie ein maßgeschneidertes System ist. Mein letzter Test von puren Arch Linux ist schon knapp 4 Jahre her. Höchste Zeit im Jahr 2024 mal wieder das originale Arch Linux unter die Lupe zu nehmen. Ich wünsche Euch...

Der Beitrag Arch Linux im Test 2024! Minimalistisch und endlich einfach? erschien zuerst auf MichlFranken.

Die weitverbreiteten Datenkompressionswerkzeuge XZ Utils (früher LZMA Utils) enthalten in Version 5.6 eine Backdoor. Ziel der Backdoor ist nach aktuellem Kenntnisstand eine Kompromittierung von SSH-Servern. Dies wurde gestern auf der oss-security-Mailingliste von Andres Freund nebst einer umfangreichen Analyse des Sachverhalts bekannt gegeben. Durch den Einsatz der Werkzeuge in Linux-Distributionen haben wir hier einen Fall einer Supply-Chain-Attacke. Red Hat hat dem Vorfall die CVE-Nummer CVE-2024-3094 vergeben.

Vorab eine Liste mit weiteren Links:

• Stellungsnahmen von verschiedenen Distributoren
  • Arch Linux
  • Debian
  • Red Hat
  • SUSE
• FAQ
• Hacker-News-Diskussion
• Zeitleiste

Wirkungsweise

Dabei wird die Backdoor nur unter bestimmten Bedingungen ausgeführt, wie das FAQ beschreibt. Im Wesentlichen muss argv[0] auf /usr/sbin/sshd gesetzt sein und eine Reihe an Umgebungsvariablen entweder gesetzt oder nicht gesetzt sein. Normalerweise hängt OpenSSH nicht von liblzma ab. Einige Distributoren patchen OpenSSH allerdings so, dass systemd-Notifcations funktioniert, welches wiederum auf liblzma setzt und die Backdoor möglich macht. Technisch werden einige Checks durchgeführt und anschließend mittels IFUNC Bibliotheksaufrufe umgeleitet. Dies betrifft nach aktuellem Stand auch Aufrufe während der Kryptoroutinen bei der SSH-Authentifizierung.

Betroffenheit

Der Wirkungsweise der Payload ist noch nicht abschließend geklärt. Besonders auch aus diesem Grund wird ein unverzügliches Update angeraten. Im Folgenden einige unverbindliche Faktoren, die eine Verwundbarkeit wahrscheinlich machen. Auf diese Weise kann man priorisieren, welche Systeme zuerst aktualisiert werden sollten.

Versionierte Distros wie z. B. Debian oder RHEL sind nach aktuellem Kenntnisstand mit ihren stabilen Versionen nicht direkt betroffen, da die Versionen 5.6 noch keinen Einzug in das System gefunden haben. Die Testing-Versionen dieser Distros wie z. B. Debian Sid wurden allerdings aktualisiert und sind betroffen.

Rolling-Release-Distros sind naturgemäß auch betroffen, wenn sie schon Version 5.6 in ihre Pakete aufgenommen haben. Dies betrifft zum Beispiel Arch Linux oder Gentoo. Da allerdings einige Distributionen wie Arch Linux OpenSSH nicht gegen liblzma linken, wird die Bibliothek nicht direkt in die Ausführung der Komponenten eingebunden.

Nach aktuellem Stand wird eine Verwundbarkeit besonders kritisch, wenn auf dem betroffenen Host ein öffentlich erreichbarer SSH-Server läuft, da die oben beschriebenen Faktoren ein Laden der Payload auslösen können.

Wie kam es?

Aufgefallen ist die Backdoor nur durch Zufall durch das Debugging von Performanceproblemen, die durch die Backdoor verursacht wurden. Die Backdoor wurde obfuskiert im Rahmen von Buildskripten untergebracht, sodass aufgrund der Komplexität die Lücken noch nicht direkt aufgefallen sind.

Das Repository hinter xz kann als kompromittiert gesehen werden und ist auch auf GitHub schon gesperrt worden. Auffällig ist, dass die Backdoor in den Tarballs der Releases enthalten war, nicht jedoch im Repository-Dump selber. Auch personell gab es einige Auffälligkeiten, da es vor kurzem einen Maintainerwechsel beim Projekt gab und die Lücken vom neuen Maintainer, der seit 2 Jahren am Projekt mitarbeitet, zumindest begünstigt wurden. Die Art und Weise lässt auch auf ein koordiniertes, von langer Hand geplantes Vorgehen schließen.

Einfluss und Folgen

Das große Ganze ist ein Paradebeispiel von xkcd 2347 "Dependency". Wir sehen hier Live ein Beispiel einer Supply-Chain-Attacke. Ein kleines, scheinbar unbedeutendendes Projekt wird übernommen, nur um strategisch Commits zu platzieren, die automatisch "flussabwärts" ihren Weg in größere Distributionen finden, die allesamt auf das Projekt setzen. Alles passiert trotz Open Source. Besonders pikant: der Maintainer hat aktiv versucht, die Backdoor-begünstigenden Umgebungsfaktoren, konkret das Umbiegen von Bibliotheksaufrufen mittels ifunc, in Fuzzing-Projekten wie oss-fuzz, die aktiv nach sowas suchen, zu deaktivieren.

Software wird immer bedeutender und benötigt Vertrauen. Dabei ist jetzt schon klar, dass niemand selber solch komplexe Systeme von alleine bauen kann. Aber auch die Kontrolle der Quellen ist eine große Herausforderung. Neue Gesetzgebung wie der geplante Cyber Resilience Act in der EU versuchen in der Industrie Anreize zu schaffen, die Softwarequalität zu erhöhen.

Diese Attacke konnte einigermaßen abgewendet werden, sollte die umfassende Analyse der Payload keine belastenden Neuigkeiten hervorbringen. Eines ist aber auch klar: Die Angreifer studieren das Verhalten der Verteidiger und werden in Zukunft ihre Vorgehensweise dahingehend optimieren, nicht so einfach mehr gefunden zu werden. Es ist also möglich, Backdoors in so ein Ökosystem hineinzuschummeln. Umso besser müssen aber die Identifikations- und Abwehrmöglichkeiten werden, damit solche Angriffe wirksam verhindert werden können.

D-Bus ist in die Jahre gekommen und Versuche, einen Ersatz in den Kernel zu heben, sind gescheitert. Arch Linux folgt Fedora und wechselt jetzt zu Dbus-Broker.

Quelle

Die Entwickler der auf Arch Linux basierenden Rollin

Vor kurzem gab es das „WinRAR | 9GAG Special Offer!“ und ich bin einer von 5449 Personen, die bei diesem Angebot zugeschlagen haben. Der Key gilt nicht nur für WinRAR, sondern auch für die...

Asahi Linux hat das Ziel, eine Linux-Distribution für Apple-Silicon zu sein. Die neue Flaggschiff-Distribution auf dem Weg dorthin ist ein Asahi Fedora Remix, hat das Projekt bekannt gegeben.

Wir sind zuversichtlich, dass uns dieses neue Flaggschiff dem Ziel für ein ausgefeiltes Linux-Erlebnis auf Apple Silicon ein gutes Stück näherbringt, schreiben die Asahi-Entwickler. Bisher war Arch Linux ARM die Basis für Asahi.

Man habe bereits eine ganze Weile eng mit Fedora zusammengearbeitet, um die Apple-Hardware-Unterstützung vollständig in Fedora zu integrieren, einschließlich aller benutzerdefinierten Pakete, Kernel- und Mesa-Forks und spezieller Anforderungen an die Paketierung von Images, berichten die Asahi-Macher. Jetzt befinden man sich auf der letzten Etappe vor der Veröffentlichung.

Die Fedora-Asahi-Bemühungen sind Upstream-first, genau wie die gesamte Kernel- und Mesa-Arbeit, schreiben die Entwickler weiter. Die maßgeschneiderten Tools, wie der m1n1 Low-Level-Bootloader und die Asahi-Scripts-Tools, seien bereits in den Fedora-Upstream-Repositories und direkt für alle Fedora-Benutzer verfügbar. In der Zwischenzeit würden die Hardware-Enablement-Paket-Forks in COPRs aufbewahrt, die von der Fedora Asahi SIG verwaltet und von Fedora Infra erstellt und bereitgestellt werden, teilt das Asahi-Projekt mit.

Die direkte Zusammenarbeit mit Upstream bedeute nicht nur eine engere Zusammenarbeit mit der Kerndistribution, sondern auch, dass man Probleme in anderen Paketen schnell und reibungslos beheben könne. Dies sei besonders wichtig für Plattformen wie Desktop ARM64, wo man immer noch häufig auf zufällige Fehler in Anwendungen und Paketen stoße.

Abenteuerlustige Nutzer könnten den Fedora Asahi Remix schon heute ausprobieren, schreiben die Entwickler, warnen aber eindringlich vor holprigen Stellen bis hin zu kompletten Abbrüchen.

Der Beitrag Asahi Linux wird Fedora Asahi Remix erschien zuerst auf Linux-Magazin.

Die Entwickler der Rolling-Release-Distribution Arch Linux aktualisieren regelmäßig ihre Startmedien. In den jetzt veröffentlichten Exemplaren werkelt der neue Arch Installer 2.6, der mit einigen Änderungen aufwartet.

Zunächst frischen die Startmedien die enthaltenen Pakete auf. Unter anderem kommt Linux 6.4 zum Einsatz. Auf diese Weise müssen neue Arch-Linux-Nutzer nicht nach der Installation direkt eine Update-Flut über sich ergehen lassen.

Die eigentliche Installation von Arch Linux übernimmt ab sofort der Arch Installer in der Version 2.6. Er richtet sich nach wie vor an Linux-Experten, bietet aber ein paar neue Features. So unterstützt er den Window-Manager Hyprland und den Bootloader Limine.

Des Weiteren dürfen Anwender einen eigenen Spiegelserver vorgeben. Die Entwickler haben zudem auf Aufbau und Inhalt der Konfigurationsdatei geschraubt. Grundlage bleibt allerdings weiterhin JSON.

Grundlegend überarbeitet kommt die Partitionierung daher. Der Arch Installer greift dabei auf die Dienste der Pakete “python-parted” und “python-simple-term-menu” zurück, die folglich ab sofort zu den Abhängigkeiten zählen. Abschließend aktiviert der Assistent über XBOOTLDR separate Verzeichnisse “/boot” und “/boot/esp” in systemd-boot.

Der Beitrag Arch Linux 2023.08.01 bringt überarbeiteten Installationsassistenten erschien zuerst auf Linux-Magazin.

Die Entwickler der Rolling-Release-Distribution aktu

Der Beitrag Arch-Linux-Startmedien nutzen jetzt überarbeiteten Installationsassistenten erschien zuerst auf LinuxCommunity.

Das Linux-System BlendOS kann Pakete aus mehreren anderen Distributionen installieren und verwalten. Die neue Version 3 jongliert auch Nix-Pakete und erlaubt nahtlose Updates im Hintergrund.

Bei einer Systemaktualisierung lädt BlendOS v3 zunächst das komplette Basissystem herunter. Da ein Differenzabbild mit Zsync zum Einsatz kommt, soll der Download nur zwischen 10 und 100 MByte umfassen. Beim nächsten Neustart tauscht die Distribution das Root-Dateisystem gegen die aktualisierte Fassung aus. Die vom Nutzer bereits installierten Pakete bleiben dabei unangetastet. BlendOS v3 geht damit den Weg von anderen „unzerstörbaren“ Distributionen wie Fedora Silverblue.

Ab sofort genügt ein Doppelklick auf ein DEB-, RPM-, pkg.tar.zst- der APK-Paket, um die darin enthaltene Software zu installieren. Android-Apps unterstützen allerdings derzeit nur die BlendOS-Varianten mit Plasma- oder Gnome-Desktop.

BlendOS v3 führt mit „user“ und „system“ zwei neue Kommandozeilenbefehle ein. Letztgenanntes dient dazu, Pakete direkt auf dem Host-System zu installieren. Dazu bedient sich „system“ bei den Arch-Linux-Repositories.

Darüber hinaus hilft „system“ bei der Wahl des Desktops: BlendOS v3 unterstützt sieben Desktop-Umgebungen, zwischen denen man schnell mit dem Kommandozeilenbefehl „system track“ wechselt. Die Entwickler rufen zudem Anwender auf, weitere Desktops vorzuschlagen. Dazu müssen sie lediglich eine einfach aufgebaute Konfigurationsdatei erstellen und auf GitHub per Pull-Request einreichen.

Das Tool „user“ ersetzt das alte „blend“-Kommando. Unter anderem kann es Container starten und diese auf ein anderes BlendOS-System verschieben. In Containern erlaubt sind jetzt Arch Linux, AlmaLinux 9, Crystal Linux, Debian, Fedora 38, Kali Linux (in der Rolling-Variante), Neurodebian Bookworm, Rocky Linux, Ubuntu 22.04 und Ubuntu 23.04.

Konfigurationsdateien und Container lassen sich über eine YAML-Datei beschreiben und so auf mehreren Systemen reproduzieren. Das genaue Vorgehen beschreibt ein Eintrag in der Knowledge Base.

Der Beitrag BlendOS v3 unterstützt sieben Desktop-Umgebungen erschien zuerst auf Linux-Magazin.

Diese Nachricht ist insbesondere für alle Testing-Nutzer von Bedeutung: Arch Linux wird die Repositories umstellen, die für den Bezug der Testing-Pakete erforderlich sind.

Hintergrund ist die Migration von SVN auf Git in der Infrastruktur von Arch Linux. Dazu werden von Freitag, dem 19. Mai 2023 bis Sonntag, dem 21. Mai 2023 die Repositories eingefroren - das Arch Linux Packaging Team wird in der Zeit keine neuen Pakete bereitstellen können. Durch die Umstellung werden der SVN-Zugriff sowie der svn2git-Mirror obsolet.

Nach der Umstellung werden die Testing- und Staging-Repositories aufgespaltet und das Community-Repository aufgelöst:

• [testing] wird aufgeteilt in [core-testing] und [extra-testing]
• [staging] wird aufgeteilt in [core-staging] und [extra-staging]
• [community] wird in [extra] überführt

Nutzer von Arch Linux müssen auf die Änderungen folgendermaßen ab Montag, dem 22. Mai 2023 reagieren:

• (Optional) für alle Nutzer: in der /etc/pacman.conf kann der [community]-Abschnitt entfernt werden.
• Für Testing-Nutzer: in der /etc/pacman.conf müssen der Abschnitt für [testing] entfernt und zwei neue für [core-testing] und [extra-testing] hinzugefügt werden. Das gleiche muss, wenn eingesetzt, für das Staging-Repository unternommen werden.

Wer als Nutzer von Arch Linux keine Testing-Repositories einsetzt, muss kurzfristig auch nichts unternehmen, da das Extra-Repository nun auch alle Pakete des Community-Repositories führt. In einer Übergangsphase werden die drei nun aufgelösten Repositories (community, testing, staging) leer ausgeliefert. Mittelfristig sollten diese Repositories aber aus der /etc/pacman.conf entfernt werden, um Fehler zu vermeiden, wenn die Bereitstellung endet.

Weitere Inforamtionen zur Umstellung sind in der Mitteilung von Arch Linux vom 15. Mai 2023 zu finden.

Das auf Arch Linux basierende System BlendOS kann Softwarepakete aus anderen Distributionen installieren sowie Android-Apps ausführen. Die Programme laufen dabei ab sofort in Podman-Containern. Vereinfacht haben die Entwickler zudem die Installation von Arch-Linux-Paketen.

BlendOS kann unter anderem Fedora- und Ubuntu-Pakete einspielen. Die entsprechenden Anwendungen hatte bislang das Tool Distrobox in Containern verpackt und so voneinander isoliert. Im neuen BlendOS v2 haben die Entwickler die entsprechenden Funktionen auf Basis von Podman neu implementiert. Nach eigenen Angaben ermöglichte dies, deutlich einfacher weitere Funktionen nachzurüsten.

Die in den Containern gelandeten Programme tauchen in BlendOS v2 sofort nach ihrer Installation im Basissystem auf – wie man es vom „Überblenden“ beziehungsweise Mischen von mehreren Distributionen erwartet. Zudem kann man jetzt festlegen, welche Anwendung gegenüber identischen Kollegen aus anderen Distributionen den Vorzug erhält.

Über WayDroid kann das System von Haus aus Android Apps starten. Letztgenannte lassen sich über bekannte Stores wie Aurora oder F-Droid hinzuholen. Die Apps laufen dabei einträchtig neben den normalen Linux-Anwendungen.

Das Basissystem nutzt wahlweise Gnome 43.4 oder KDE Plasma 5.27. Die Gnome-Variante verwendet ein unmodifiziertes Gnome – mit einer Ausnahme: Der Desktop gruppiert automatisch Anwendungen, die zu verschiedenen Systemen und Kategorien gehören.

In BlendOS v2 kann man Programme direkt aus den Arch- und Chaotic-AUR-Repositories in das Basissystem hinzuholen. Dies ist beispielsweise nützlich, wenn man eine andere VPN-Software nutzen oder weitere Treiber nachinstallieren möchte.

Abschließend kann man sich auf der BlendOS-Website seinen ganz eigenen BlendOS-Remix zusammenstellen. Das ISO-Image unterstützt sowohl UEFI- als auch BIOS-Systeme. Die Nvidia-Treiber gehören zudem zum Lieferumfang.

Der Beitrag BlendOS v2 ersetzt Distrobox durch Podman erschien zuerst auf Linux-Magazin.

Der Name BlendOS beschreibt, was geboten wird: das nahtlose Einblenden von Paketen aus Arch, Fedora und Ubuntu in einem System, immutable und mit Snapshots.

Quelle