プログラミング

OpenBSD 8.0: 2026年10月20日リリース

OpenBSD 8.0: released Oct 20, 2026 (marc.info)

26 pointsby erikschoster2026年10月20日2 コメント

要約

OpenBSD 8.0が2026年10月20日にリリースされました。このバージョンは、amd64、arm64、riscv64などのプラットフォーム固有の改善、カーネル機能の強化、サスペンド/ハイバネーションサポートの追加、Direct Rendering Managerおよびグラフィックスドライバーの更新、VMM/VMDの機能向上、そして多数の新しいユーザーランド機能とバグ修正を含んでいます。OpenBSDは30年以上にわたり、デフォルトインストールでのリモートホールが2つという記録を維持しています。

全文翻訳

OpenBSD 8.0 RELEASED

2026年10月20日。

OpenBSD 8.0の公式リリースを発表できることを嬉しく思います。これが私たちの61回目のリリースです。OpenBSDは、デフォルトインストールで2つのリモートホールしかなく、30年以上の記録を誇りに思っています。

前回のリリースと同様に、8.0はシステムほぼ全ての領域で、新機能を含む大幅な改善を提供します。

プラットフォーム固有の改善:
o amd64:
- amd64カーネル仮想アドレス空間のサイズを4GBから512GBに引き上げました。
- pmap(9)のダイレクトマップがランダムな場所に配置されるようになりました。
- AES CPU命令を使用して、スワップ暗号化を高速化しました。
o arm64:
- ハイバネーションサポートを追加しました。
- AES CPU命令を使用して、スワップ暗号化を高速化しました。
- バウンスバッファを実装しました。
o luna88k:
- m88kの複数のCMMUレジスタ書き込みを修正しました。
- m88kカーネルモードCMMUフォルトハンドリングを拡張し、書き込み保護フォルトを処理できるようにしました。
- luna88k m8820x_initialize_cpu()が非MPカーネルで論理CPU #0を初期化することを保証しました。
- luna88k m8820x_cpu_number()でのCMMUウォークを高速化しました。
o riscv64:
- CPU拡張を検出し、elf_aux_info(3)のAT_HWCAPおよびAT_HWCAP2クエリを通じてユーザーランドで使用可能なものを広告します。
- 'V'ベクトル拡張のカーネルサポートを追加しました。
- バウンスバッファを実装しました。
- RISC-V Advanced Interrupt Architectureのサポートを追加しました。imsic(4)およびaplic(4)ドライバを追加しました。
- Sstcタイマー拡張のカーネルサポートを追加しました。
o sparc64:
- sparc64リロケーションフラグテーブルの境界チェックを追加しました。
- sparc64をLLVMツールチェーンに切り替えました。
- SPARCV9でのメモリアライメントを改善しました。
o その他のアーキテクチャ:
- loongsonアーキテクチャのサポートを廃止しました（Clang 22で動作しません）。
- LLVMの様々なRISC-VおよびMIPSバグ修正。
- hppa保護ビットのエンコーディングを修正しました。
o その他のプラットフォーム固有の変更は、以下のハードウェアサポートセクションで見つけることができます。
様々なカーネル改善:
o open_wmemstream(3)でのメモリサイズ計算を修正しました。
o コンテキストスイッチ中にsemop(2)セマフォIDが破棄/置換される問題を修正しました。
o pagedaemonのスワップページ/メモリ解放のための非アクティブページキューヒューリスティックを改善しました。
o getexecpath(3)を追加し、elf(5)プログラムの実行パスのコピーを提供できるようにしました。
o より大きなディスクラベルのための準備を進めました。
サスペンド/ハイバネーションサポート:
o qwz(4)のサスペンド/レジュームを有効にしました。
o Samsung Galaxy Book4 EdgeおよびHONOR MagicBook Art 14 Snapdragonでufshci(4)がサスペンドを生き残るようにしました。
o machdep.lidaction=0の場合に、リッドが閉じられたときにサスペンド中のラップトップがスリープ解除されるのを停止しました。
o ハイバネーションと「通常の」サスペンドを区別するためのグローバルスリープモード変数を追加しました。
o qcuart(4)のサスペンド/レジュームサポートを追加しました。
o bytgpio(4)のウェイクアップ割り込みサポートを追加し、IdeaPadがサスペンドから復帰する問題を修正しました。
o ハイバネーション中のディスクイメージ展開時にpigletにコピーされるチャンクのサイズを検証します。
o アンハイバネーション時にディスクイメージのオンディスクサイズを整数オーバーフローに対して検証します。
o アンハイバネーション時にチャンクテーブルを読み取る際のディスクイメージのオーバーリードを防ぎます。
o アンハイバネーション後にフレームバッファをクリーンアップします。
o nvme(4)ハイバネーションサポート用の専用キューの割り当てに失敗した場合でも、致命的でないようにしました。
Direct Rendering Managerおよびグラフィックスドライバ:
o drm(4)をLinux 6.18.53に更新しました。
o inteldrm(4)でのIntel Arc A-Series (DG2/Alchemist)グラフィックスカードのサポート。
o amd64でのカーネル仮想アドレス空間の増加により、4GBを超えるVRAMのマッピングが可能になりました。
o 一部のAlder Lakeシステムで見られるinteldrm(4) GuCタイムアウトエラーの回避策を実装しました。
VMM/VMDの改善:
o ゲストVMあたり最大64個のVCPUに対するMPサポートを追加しました。
o VM所有権を管理するためにファイルを管理するように再設計しました。
o ゲスト仮想マシン用のx2apicモードサポートを追加しました。
o vmd(8)が起動時にカーネルを検出しない場合の修正。
o vmm(4)からのMMIO終了時に、vmd(8)にフォルトするGPAを提供します。
o vmm(4)の終了ハンドリングをリファクタリングし、RIP調整を修正しました。
o vmm(4)のVMXパスでの可変長命令のサポートを追加しました。
o vmd(8)が不正なelf(5)ファイルで32ビットおよび64ビットelf(5)ローダーでOOB読み取りを行うのを防ぎます。
o 32ビットLinuxゲストのvmd(8)サポートを修正するために、欠落していたlapic/ioapicモードを実装しました。
o vmd(8)ゲスト用のチェックサムオフロードを追加しました。
o MSI/MSI-X virtioデバイス割り込みサポートを追加しました。
o vmd(8)で実際に分割されたsplit-virtqueuesをサポートします。
o vmd(8)にi82093aa ioapicおよびi82489dx互換lapicエミュレーションを追加しました。
o qcowハンドリングを改善しました。
様々な新しいユーザーランド機能:
o netstat(1)がインターフェースマルチキャストカウンタを出力できるようになりました。「-q」をより具体的にしました。
o ddb(4)のデフォルト「ps」出力を調整し、「struct process」と「struct proc」を別々に表示するようにしました。
o mount(8)が-uオプションでDUIDをサポートするようになり、ファイルシステムを更新する際にDUIDを保持するようにしました。
o sndioctl(1)でmidithruポートを制御できるようになりました。
o sndioctl(1)でリスト要素の追加または削除を許可しました。
o sndiod(8)サーバーのmode制御を追加し、設定を動的に変更できるようにしました（sndioctl(1)経由）。
その他のユーザーランドのバグ修正と調整:
o 共有ライブラリをロードする際にelf(5)ヘッダーとプログラムヘッダーが収まることを保証します。
o getpwent(3) yp_next()でのキーメモリのリークを修正しました。
o patch(1)で、不正なed(1)スクリプト入力に対する無限ループを解決しました。
o authpf(8)、pflogd(8)、ldapd(8)、ldpd(8)、lpd(8)、radiusd(8)、snmpd(8)でexecv(3)絶対パスを使用します。
o uaudio(4)が、報告されたフォーマットとチャンネルが使用可能であることをテストするようになりました。
o MIDIエンドポイントが非空バッファで接続された場合にsndiod(8)が異常終了するのを停止しました。
o sndiod(8)でfile_new()の戻り値のチェックが2つ欠落していたのを修正しました。
o npppd(8) LCP MRUオプションハンドリングを修正しました。
o pstat(8)を調整し、セッションリーダープロセスのPIDを返すようにしました。「-t -M」が機能するようにしました。
o eigrpd(8)がオーバーフローを避けるためにプレフィックス長を検証するようにしました。
o sndiod(8)がすべてのmidithru構造体をヒープに割り当てるようにしました。
ハードウェアサポートとドライバのバグ修正の改善、以下を含む:
o Samsung Galaxy Book4 EdgeのGXTP7936タッチスクリーンを有効にしました。
o riscv64 K3 PCIe/USB3コンボPHYのサポートを追加しました。
o riscv64でgpioleds(4)を有効にしました。
o smte(4)（SpacemiT K1 Ethernetデバイス）で、受信パケットのエラーチェックを改善しました。
o SpacemiT K1 SoCでの通常のMSI割り込みを修正しました。
o SpacemiT K3 SoCのsmtclock(4)サポートを追加しました。
o SC7280のqcgpio(4)サポートを追加しました。
o SpacemiT K3 dwpcie(4) PCIeコントローラーのサポートを追加しました。
o Radxa E24Cで使用されるRK3528 I2C5クロックを追加しました。
o Qualcomm Glymur (X2) SoCのACPIハードウェアIDを追加しました。
o aplmca(4)でページテーブルミラーリングを実装し、Apple USBコントローラーのIOMMUを有効にしました。
o Samsung Advanced BIOS Interface (SABI)用の新しいsamsabi(4)ドライバ。
o Samsungラップトップバッテリーモニター用の新しいsambat(4)ドライバ。
o Rockchip OTPメモリ用の新しいrkotp(4)ドライバ。
o Radxa Zero 3ボードのCPU電圧に使用されるRK8600レギュレーターのサポートを追加しました。
o AMD "Krackan Point"デバイスIDを追加しました。
o HONOR MagicBookタッチパッドマルチタッチサポートを修正しました。
o esp(4) FIFOメモリオーバーフローを修正しました。
o softraid(4)再構築での潜在的なメモリリークを修正しました。
o 4096バイトセクターのディスクでのsoftraid(4)再構築を修正しました。
o 64ビットDMA対応のre(4)用の高メモリmbufを修正しました。
新規または改善されたネットワークハードウェアサポート:
o em(4)にPanther LakeおよびWildcat Lake Ethernetデバイスのサポートを追加しました。
o ix(4)ドライバにIntel E610 Ethernetデバイスのサポートを追加しました。
追加または改善された無線ネットワークドライバ:
o qwx(4)ハードウェアから返される空パケットの可能性のあるケースを適切に処理します。
o qwx(4) SRNG DMA記述子メモリの欠落していたDMA同期を追加しました。
o アタッチ時にqwx(4) VIF DMAマップ割り当ての失敗を適切に処理します。
o qwx(4) vifリストでの古いポインタの使用を修正し、クラッシュを引き起こしていました。
o qwx_init()でRUNNING状態を取得できなかった場合に、qwx(4)ドライバとデバイスの状態を適切にリセットします。
o 電源投入中のqwx(4)デバイスでの競合状態を回避します。
o qwx(4) qwx_activate()でioctl rwlockを正しく使用します。
o qwx(4) rx_ring->bufs_maxおよびfreemapが常に正しく初期化されることを保証します。
o qwx(4) initタスクがioctlロックが利用可能になるのを待つのを停止しました。
o qwx_qmi_fw_init_done()で発生するエラーをqwx(4)が適切に処理するようにしました。
o qwx(4)でのAP間のローミングを修正しました。
o インターフェースがUPの間、常にqwx(4)でデータフレーム割り込みを許可します。
o qwx(4)に40MHzチャネルのサポートを追加しました。
o 空きRxリングスロットが利用可能な場合にのみ、qwx(4)が新しいmbufを割り当てるようにしました。
o qwx(4)で割り込みコンテキストからbus_dmamap_create()を呼び出すのを回避します。
o 関連付けをより信頼性の高いものにするために、qwx(4)ファームウェアから送信された国コードイベントを処理します。
o コマンドリングがリセットされたときに、qwx(4)コマンドリングの「キュー済み」カウンタをリセットします。
o net80211状態を切り替えるときに、qwx(4) nqフラグが常にクリアされることを保証します。
o qwx(4) mac設定で設定されたtx/rxストリームの数を修正しました。
o RUN状態からホップアウトする際に、qwx(4)がPMFグッバイディアスフレームを送信するようにしました。
o qwx_stop()でIFF_RUNNINGが設定されている間、新しいタスクがスケジュールされないことを保証します。これによりqwz(4)のクラッシュを防ぎます。
o スキャンツリーでephemeralノードよりもic_bssを優先するようにqwx(4)をしました。
o vdevを開始した後（それより前ではない）に、qwx(4)ファームウェアにピアを追加します。ファームウェアのクラッシュを修正します。
o qwx(4)に802.11nサポートを追加しました。HT機能とHT/QoSピア関連付けを広告します。
o デバイスをリセットする前に、qwx(4)ファームウェアにM3状態に移行するように要求します。
o qwx(4)で割り込みコンテキストからbus_dmamap_destroy()を呼び出すのを回避します。
o qwz(4)に802.11nと40MHz幅のサポートを追加しました。
o ネイティブWiFiフレームでのQoSをqwz(4)が処理できるようにしました。
インストーラー、アップグレード、ブートローダー、pkg-toolsの改善:
o pkg_add(1)、sysupgrade(8)、syspatch(8)でinstallurl(5)の処理を調和させました。
o fw_update(8)で、資格のないファイルに対する空き容量チェックを修正しました。
o fw_update(8)でダウンロードできるファイルのサイズに制限を設定しました。
o fw_update(8)で、信頼されていないコメントをデータとして扱わないように、より厳密な検証を行いました。
o pkg_add(1)が、マージセットでの無限ループの一部を検出して克服するようになりました。
o fw_update(8)のFWURLから末尾のスラッシュを削除しました。
o pkg_add(1)のデフォルト検索パスからカレントディレクトリを削除しました。
o fw_update(8)で、ファイル名によるファームウェアのダウンロードを改善しました。
o fw_update(8)で、SHA256.sigが見つからない場合のエラーを改善しました。
o fw_update(8)がローカルSHA256.sigの署名をチェックするようになりました。
o fw_update(8)で、tar(1)が期待される場所の外にあるファイルをスキップするようにしました。
o syspatch(8)が、潜在的なアップデートを探す際にtgzファイルをすべてダウンロードするのを停止しました。
セキュリティ改善:
o vfs(9)でのpledge(2)を修正しました。
o aplmca(4) SoCでの境界外アクセス試行を修正しました。
o 様々なユーティリティでの非標準UID_MAXおよびGID_MAXの使用を停止しました。
o ipsec(4) AES GMAC暗号を改善しました。
o iked(8)が不正な形式および状態外のIKEv2メッセージを拒否するようにしました。
o x509_verify (CID 656293)でのメモリリークを修正しました。
o sysctl(2) KERN_PROC_ARGSでのオーバーフローを回避しました。
o dhcpd(8)で、不正または悪意のあるiaddrデータがクラッシュを引き起こすのを防ぎます。
o dhcpd(8)でのDHCPINFORMによる潜在的なメモリ枯渇を回避します。
o libcrypto RSA-PSSでsaltlenおよびmin_saltlenを正しく使用します。
o libcrypto x509で無効なdelta CRLを拒否します。
o libcryptoのパス検証でRFC 3779継承ハンドリングを修正しました。
o ld.so(1)でexecve(2)を$ORIGINとして使用します（それ以外の場合はrealpathにフォールバックします）。
o syspatch(8)を悪意のあるスクリプトに対して強化しました。
o smtpd(8)環境およびmdaを通過できる文字を制限します。
o pax(1)でのNULを超えた読み取りを修正しました。
o pax(1)が悪意のあるアーカイブを作業ディレクトリ外に展開するのを停止しました。
o lldpd(8)にpledge(2)で「mcast」を追加しました。
o pledge_sockopt()レベル/optnameチェックを、異なるタイプのソケットに対してより厳密にしました。
o 「mcast」pledge(2)を拡張し、イーサネットフレームソケットでのマルチキャスト調整を許可しました。
o libexpatをバージョン2.8.4に更新しました（CVE-2026-66046 CVE-2026-76641 CVE-2026-76957）。
o vnodeが変更された場合に、execでのスクリプトパス名TOCTOUを回避します。
o execve(2)のrealpath処理をより堅牢にしました。
o luna88kを-fno-pieでカーネルファイルをビルドするように切り替えました。
o m88k 88100データパイプラインから、特権のないカーネルメモリ読み取りおよび書き込みの脆弱性を削除しました。
o unveil(2)がman(1)、makewhatis(8)、man.cgi(8)の読み取りおよび書き込みアクセスを制限するようになりました。
o dhcpleased(8)がDHCPサーバーがACKするIPアドレスを検証するようになりました。
o perl(1) Storable (CVE-2026-57433)での符号付き整数オーバーフローを修正しました。
o perl(1) packおよびunpack (CVE-2026-57432)での整数オーバーフローを修正しました。
o perl(1)の不正な正規表現マッチ (CVE-2026-13221) を修正しました。
o profil(2)でのメモリリークと競合状態を修正しました。
o elf(3)ノートのチェックを改善しました。境界外アクセスを防ぎます。
o ロード可能なセグメントを持たないelf(3)インタープリタを拒否します。
o exec_elf_makecmds()内の静的バイナリに対してkbind(2)およびpinsyscalls(2)を無効にしました。
o elf(5)構造体を修正し、カーネルスタックの内容のリークを防ぎます。
o LibXfont 2のCVE-2026-56001、CVE-2026-56002、CVE-2026-56003の修正。
o Xserver(1)のCVE-2026-55999およびCVE-2026-56000の修正。
o perl(1) Socketを2.041に更新しました（CVE-2026-12087、境界外ヒープ読み取りの修正を含む）。
o iked(8)がmaskデータ構造をbzero(3)するように修正しました。mask4を使用する代わりに。
o nsd(8)でのCVE-2026-12244、CVE-2026-12245、CVE-2026-12246、CVE-2026-12490の修正。
o isakmpd(8)のエラーパスudp_encap_handle_message()でのトランスポートリークを停止しました。
o isakmpd(8) ipsec_validate_id_information()でタイプごとのIDペイロードサイズを強制します。
o memmem(3)およびstrstr(3)でのシフトオーバーフローを回避します。
o isakmpd(8)での複数の追加境界チェック。
o 権限分離のため、syslogd(8)親用に別の実行可能ファイルを提供します。
o smtpd(8)がimsg経由で送信する前にuserinfoをクリアするようにしました。
o smtpd(8)がprivsep IPC経由で受信した不正なsockaddrペイロードを拒否するようにしました。
o privsepを強化するために、smtpd(8)の一時エンベロープ解析バッファを使用前にゼロクリアします。
o smtpd(8)の権限分離を強化するために、teardown時に保留中の非同期ルックアップをクリアします。
o 初期化されていないktrace(1)スタック変数からの潜在的な情報リークを修正しました。
ネットワークスタックの新機能:
o ice(4)リンク状態をフルデュプレックスに設定しました。
o ice(4)で、より多くのインターフェースがアタッチできるように、最大TSOセグメントを削減しました。
o ice(4)で、TSOパケット用の128 DMAセグメントの使用を有効にしました。
o bge(4) BCM5720で64ビットDMAを有効にしました。
o ogx(4)でジャンボフレームを有効にしました。
ネットワークスタックのさらなる変更とバグ修正:
o ipsec(4)がIPヘッダーの最大パケットサイズを超えないようにしました。
o bpf(4) bpf_memバックエンドでの整数オーバーフローからの境界外読み取りを検出します。
o 送信パスの後段にbpf(4)（送信パケット用）を移動しました。
o tun(4) tun_dev_write()でのmbufチェーン割り当て失敗時のメモリリークを回避します。
o ixl(4)でhardmtuおよびrxmaxを修正しました。
o iwx(4)で動的なチャネル幅変更を正しく処理します。
o bpf(4) bpf_filterを強化しました。bpf_validateで未処理の命令をブロックします。
o bpf(4)エンジン（libpcap CVE-2026-31912）に適切なプログラム境界チェックを追加しました。
o ppp(4)でのbpfフィルタ呼び出しを修正しました。bpf_mfilter(9)を使用します。
o ospfd(8)でのLS_UPD、LS_FLOOD、LS_SNAPのimsgハンドリングを改善しました。
o ospfd(8)のimsgハンドリングを変更しました。
o ospfd(8)は、ラベルのみが変更された場合に、欠落しているrtlabel参照を追加し、ルートを更新するようになりました。
o ospf6d(8)リンク更新時に設定されたインターフェースタイプを保持します。
o ospfd(8)がプロセスからのメモリアドレスレイアウトに関する情報をリークしないことを保証します。
o authpf(8) read_config()で末尾の空白を削除し、誤設定を回避するようにしました。
o veb(4) SIOCBRDGRTSおよびSIOCBRDGVRTS ioctlでのカーネルスタックデータのリークを修正しました。
o veb(4)でのパケット破損を修正しました。
o veb_rule_list_get()でmallocarray()が失敗した場合、veb(4)はENOMEMを返します。
o ifconfig(8) 'vebX -tagged ifX' が多すぎる引数を受け付けていたのを修正しました。
o em(4)のK1終了タイムアウトを改善し、非ブロードキャストパケットを受信できるようにしました。
o em(4)でのMACタイプテストを簡素化しました。
pf(4)ファイアウォールへの以下の変更:
o pf(4) ioctl DIOCIGETIFACESでのオフバイワンエラーを修正しました。
o テーブルの添付に失敗した場合、pf(4)呼び出し元のルールセットを解放しないようにしました。
o pf(4) ioctlで終端されていない文字列を許可しないようになりました。
o ソースアドレスが指定されていない有効なMLDパケットをpf(4)がドロップするのを停止しました。
o pf(4)が、細工されたリセットパケットを受信した場合にTCP状態をドロップするのを防ぎます。
o pf(4)接続カウンタでの競合を修正し、接続カウンタのアンダーフローを引き起こしていました。
o pf(4)/inet(4)/inet6(4)でのフラグメント再構成が、正しいルーティングドメインで発生するようになりました。
o 「pfctl -s all」がpf(4)にロードされたすべてのOSフィンガープリントをダンプするのを停止しました。
o pf(4)送信パケットパスでのNULLポインタ逆参照を修正しました。
o pf(4) pf_rule_copyin()での境界外読み取りを修正しました。
ルーティングデーモンおよびその他のユーザーランドネットワークプログラムには以下の改善が見られました:
o smtpd(8)コードを変更し、LLMスキャナーからの誤ったバグレポートを回避しました。
o agentx(3)およびsnmpd(8)での不正なパケットに対するsize_tアンダーフローを防ぎます。
o httpd(8)サーバーフラグを64ビット整数に拡張しました。
o httpd(8)は、fastcgiに渡されるチャンク化リクエストに対して「最大リクエストボディ」を強制するようになりました。
o httpd(8)は、異なるクライアントCAまたはCRLを持つ共有TLSリスナーの設定を拒否するようにしました。
o httpd(8)では、パラメータごとに1つのimsg fastcgiパラメータ構造体を送信し、設定順序を保持するようにしました。
o httpd(8)にカスタムHTTPヘッダーサポートを追加しました。
o httpd(8)のサフィックス範囲ハンドリングを修正しました。
o httpd(8)がロケーションfcgiparamsを2回送信するのを停止しました。
o httpd(8)がエラーが切り捨てられるのを防ぐために、bufferevent経由でアボートレスポンスをドレインするようにしました。
o iked(8)、httpd(8)、relayd(8)、snmpd(8)で、IMSG_CTL_PROCFDを親に制限し、プロセスID/インスタンスをチェックするようにしました。
o httpd.conf(5)のデフォルトTLSサイファーセットを「compat」から「secure」に変更しました。
o httpd(8)およびdhcpd(8)がtimegm(3)のエラーチェックを正しく行うようにしました。
o 起動時にsmtpd(8)およびhttpd(8)をランダムに再リンクします。
o httpd(8)は、RFC 9112セクション6.1および6.3に従ってCL.TEリクエストフレーミングを拒否するようになりました。
o httpd(8)は、RFC 9112 5.2に従ってobs-foldを400で拒否するようにしました。
o httpd(8)のチャンク転送エンコーディングを使用したアップロードを修正しました。
o gzip-staticが有効な場合、httpd(8)はVary: Accept-Encodingを広告するようになりました。
o httpd(8)は、Last-ModifiedおよびIf-Modified-Sinceフローを保持して、静的ファイルの再検証を広告するようにしました。
o relayd(8)にさらに設定チェックを追加しました。
o リロード後にrelayd(8)リダイレクトルールを明示的にフラッシュします。
o relayd(8)で、ルーターの無効な無効フラグを削除しました。
o relayd(8)で、ホストごとにランダムなICMPエコーIDを使用します。
o relayd(8)フィルタールールにLuaパターン(7)サポートを追加しました。glob(7)ドキュメントを改善しました。
o bgpd(8)、eigrpd(8)、httpd(8)、iked(8)、ntpd(8)、relayd(8)、smtpd(8)でgetexecpath(3)およびexecv(3)を使用します。
o relayd(8)接続遅延ログを修正しました。
o relayd(8)がproc_composeおよびimsg_compose_eventの戻り値をチェックするようにしました。
o relayd.conf(5)からログレベルを設定できるようにしました。
o relayd(8) CA privsepエンジンにECDSAサポートを追加しました。
o relayd(8)は、400で重複したContent-Lengthヘッダーを拒否するようになりました。
o relayd.conf(5)のデフォルトTLSサイファーセットを「HIGH:!aNULL」から「secure」に変更しました。
o relayd(8)を新しいimsg APIに切り替えました。
o relayd(8)は、チャンクメッセージ（RFC 9112セクション6.1）のためにContent-Lengthを削除するようにしました。
o relayd(8)は、パーサーの差異を防ぐためにobs-foldを拒否するようにしました（RFC 9112 5.2）。
o relayd(8)のX509_dup()呼び出しを削除し、メモリリークを防ぎました。X509_set_*のエラーチェックを追加しました。
o relayd(8)でMKCALENDAR HTTPメソッドのサポートを追加しました。
o relayd(8)のデバッグビルドを修正しました。
o relayd(8)が複数の解決可能なアドレスをサポートするようにしました。
o relayd(8)がボディのないHTTPレスポンスを処理できるようにしました。
o isakmpd(8) message_alloc_reply()呼び出し元でのNULL逆参照を修正しました。
o isakmpd(8)による不正アラインメントの32ビット読み取りの可能性を修正しました。
o isakmpd(8)でPort-MessageおよびState属性の長さチェックを提供します。
o login_radius(8) Access-ChallengeでのPort-MessageおよびState属性の長さチェックを制限します。
o dhcpleased(8)エンジンが負のルート数を送信するのを防ぎます。
o dhcpleased(8)がエンジンプロセスから正しい数のルートを受け入れるようにしました。
o dhcpleased(8) UDPヘッダー長フィールドが少なくともUDPヘッダーをカバーすることを保証します。
o smtpd(8) mask-srcを拡張し、セッション詳細を抑制するようにしました。
o smtpd(8)をimsgbuf_get(3)に切り替えました。
o smtpd(8) mda_envelope_free()でディスパッチャーを解放し、リークを防ぎます。
o smtpd(8)は、mboxパスを構築する前に、空またはスラッシュを含むユーザー名を拒否するようになりました。
o smtpd(8)は、SMTPエンキューダイアログを開始する前に、argv由来フィールドのCR/LFを拒否するようになりました。
o smtpd(8)スマートホストルックアップ失敗パスでコピーされたエンベロープを正しく解放します。
o smtpd(8) mda_envelope_free()でmda_subaddressを正しく解放し、メモリリークを防ぎます。
o uncompress_gzip_chunk()でinflateストリームをティアダウンするために、smtpd(8)がinflateEnd()を使用するようにしました。
o unpack_rr()が失敗を報告したら、smtpd(8)はDNS回答の解析を停止するようになりました。
o 認証タグとIVデータを処理する前に、暗号化されたsmtpd(8)キューバッファサイズを検証します。
o rtrd(8) RPKI-To-Routerプロトコルデーモンとrtrctl(8)をインポートしました。
o acme-client(1)にはいくつかの変更がありました:
- acme-client(1)設定で代替名にワイルドカードを指定できるようにしました。
- acme-client(1)が使用後にoptarg/eab/eab_keyをfreezero(3)でワイプするようにしました。
- acme-client(1)による外部アカウントバインディングのstrdup()のエラーチェック。
- acme-client(1)で、HTTPリクエストインジェクションを防ぎます。
- acme-client(1)がbase64urlエンコードされたEABキーで「=」パディングを処理できるようにしました。
- acme-client(1)でのtimegm(3)呼び出しを修正しました。
- acme-client(1)の外部アカウントバインディングのサポートを追加しました。
o bgpd(8)で:
- マルチAFI/SAFIセッションのためにbgpd(8)のグレースフルリスタートタイマーハンドリングを調整しました。
- ルートの検証状態が変更された場合に、bgpd(8)がプレフィックス再評価を行うようにしました。
- msg->connectedがfalseの場合、nexthop_update()でbgpd(8) NEXTHOP_CONNECTEDをクリアします。
- MSG_PROCESS_LIMITに達した場合、bgpd(8)がピアからの読み取りをスロットルするようにしました。
- bgpd(8) aspa_table_equal()の等価性比較を修正しました。
- bgpd(8)にdraft-ietf-sidrops-8210bis-26からの新しいRTR v2エラーコードを組み込みました。
- bgpd(8)のIdleHoldTimerと高速再接続の実装方法を再構築しました。
- bgpd(8) adj-rib-outのforce_updateロジックを再構築しました。
- bgpd(8)がピアデータをbgpctl(8)にリークするのを停止しました。
- bgpd(8)にch_meta_locate()を実装しました。
- 通常のピアのためにbgpd(8)のpath_id_txハックを復活させました。
- bgpd(8)でmrt_dump_entry_mp()計算処理を改善し、オーバーフローを回避しました。
- iked(8)、isakmpd(8)、bgpd(8)、ldpd(8)でPFKEY応答の解析中に無限ループを回避します。
- NLRIデータがある場合、nexthop属性が存在することをbgpd(8)が保証するようにしました。
- バージョン不一致でbgpd(8)がハードフェイルするのを停止しました。余分なend-of-paramsメッセージを無視します。
- bgpd(8)で未知の拡張コミュニティのハンドリングを改善しました。
- bgpd(8) MRT属性バッファをMAX_EXT_PKTSIZEに増やし、すべてのケースで機能するようにしました。
- bgpd(8) rib_removeおよびparse.yでのuse-after-freeを修正しました。
- bgpd(8) adjout_prefix_update()でpend_prefix_add()呼び出しを強制するforce_updateフラグを追加しました。
- bgpd(8)がダウングレードパスでRTR min-versionを尊重し、接続を適切に閉じるようにしました。
- bgpd(8) add-path送信パーサーを改善しました。bestと共にmaxが使用された場合はエラーにします。
- bgpd(8) up_generate_addpath()での制限のハンドリングを調整しました。
- bgpd(8)ピアが有効にしているもののチェックに拡張メッセージ機能を追加しました。
- adj-rib-outケースで未処理のimsgタイプに対してbgpd(8)がエラーを返すようにしました。
- bgpd(8)でリトルエンディアンシステムでのポート設定を修正しました。
- bgpd(8) ibuf_set_maxsize()の追加サイズチェック。
- MAX_ADDPATH_COUNT（100に設定）を導入し、bgpd(8) add-pathに使用します。
- bgpd(8) merge_peers()で、通常のピアだけでなくクローンされたピアにもlocal_bgpidを設定するようにしました。
- bgpd(8)でループカウンタをuint8_tからu_intに変換しました。
- bgpd(8)で最大設定可能ステールタイムをCAPA_GR_TIMEMASK (4095)に削減しました。
- bgpd(8) session_graceful_restart()でSessionDownタイマーもアームするようにしました。
- bgpd(8)がxp->rdesessionをチェックして、RDEがセッションを実行しているかどうかを確認するようにしました。
- bgpd(8) path_calc_hash()を改善しました。
- 無効なbgpd(8) ORIGIN属性に対する「withdrawとして扱う」ハンドリングを修正しました。
- bgpd(8) chashでの2つのメモリアカウンティング問題を修正しました。
- bgpd(8)でのTLVエンコーディングに関する追加チェック。
- すべてのbgpd(8) ASPATH属性を750要素に制限します。
- bgpd(8)でattr_optaddのuint8_t長値のオーバーフローを防ぎます。
- PREFIX_FLAG_FILTEREDのみが変更された場合にbgpd(8)プレフィックスを再評価します。
o rpki-client(8)で:
- OpenSSL 4.1でのバッファオーバーリードを回避するためにrpki-client(8)を修正しました。
- rpki-client(8)で、非準拠の証明書サブジェクトエンコーディングを拒否します。
- rpki-client(8)が、証明書CRLDPと参照マニフェストのアライメントをチェックするようにしました。
- rpki-client(8) cms_parse_validate()を再構築しました。
- rpki-client(8)によるリーフでの継承リソースのハンドリングを修正しました。
- rpki-client(8)で、すべての署名済みオブジェクトパーサー関数を統一しました。
- rpki-client(8)は、不正なRSAパラメータについて無条件に警告し、一部の不正なROAを拒否します。
- rpki-client(8)キューに追加されるデルタの範囲を制限します。
- 持続的なrpki-client(8) HTTP接続で一貫した状態を保証します。
- gbrサポートあり/なしのrpki-client(8)バージョン間の動作の違いを削除しました。
- rpki-client(8)パーサーでの終了競合の可能性を修正しました。
- rpki-client(8)は、正常な実行時のみNCA履歴を記録するようになりました。
- rpki-client(8)は、正常な実行時にのみ設定ファイルを出力するようになりました。
- 機能しないCAのrpki-client(8)リトライを、rsyncベースURIに基づいてバッチ処理します。
- rpki-client(8) BGPsecルーター証明書に制約を正しく適用します。
- rpki-client(8) skiplist、shortlist、NCAリトライハンドリングを重複排除しました。
- rpki-client(8) nca_hist_load()での不正な解放を削除しました。
- rpki-client(8) cert_ca_sia()で、エラーメッセージで正しい通知文字列を使用します。
- rpki-client(8)の成功パスでの二重fcloseを削除しました。
- rpki-client(8)で、サイクル間ジッターを増加させるコインフリップを追加しました。
- rpki-client(8)で、機能しないCAに対するバックオフリトライメカニズムを追加しました。
- rpki-client(8)は、重複した拡張OIDを持つ証明書を拒否するようになりました。
- 持続的なHTTP rpki-client(8)接続での各応答後にlast_modifiedをクリアします。
- rpki-client(8)で、CCRマニフェスト内のサブオーディネイトを単純なキューに切り替えました。
- rpki-client(8)は、rsync経由で同期する際に隠しファイルとディレクトリを除外するようにしました。
- rpki-client(8)で、一部のASN.1フィールドのファイル名の長さを255に制限しました。
- rpki-client(8)での不完全なstrncmp()チェックを修正しました。
- rpki-client(8) ip_addr_check_overlap()でのオフバイワンエラーを修正しました。
- rpki-client(8)でのshortlistおよびskiplistチェックを修正しました。
- rpki-client(8)にさらにエラーチェックとセーフガードを追加しました。
tmux(1)の改善とバグ修正:
o リストが再構築される際にツリーモードでのスクロール位置を維持します（issue 5631）。
o killsされたクライアント（wait-for内）をリークしません（issue 5614）。
o ボーダー上でのクリックの場合、マークをキャンセルしません。
o パネルのようなボーダーレスメニューのサポートを追加しました。
o utf8ターミナル機能をサポートしました。
o prefixと干渉するのを避けるため、フォーカスイベントを早期に無視します。
o new-paneに-Kフラグを追加し、モーダルパネルがすべてのキーをキャプチャするようにしました。
o ウィンドウを分割する前に、フローティングパネルの場合も含め、常にアンズームします。
o パネルタイトルを変更するために「T」を追加しました。
o refresh-nowコマンドを追加しました。
o Msが無効な場合（例: %p1なし）、無視し、クライアントモードで報告します。
o 現在のウィンドウがない場合にグループを同期する際のクラッシュを修正しました。
o DECプライベートモードのリストであるpane_private_modesフォーマットを追加しました。
o landiskでの起動時のコアダンプを防ぎました。
o モーダルパネルを追加しました。現在はnew-pane -Oで作成されます。
o プロンプトの大幅な再構築。
o ステータスラインが上部にある場合のカーソル計算を修正しました。
o capture-paneに-Hフラグを追加し、ハイパーリンクを表示するようにしました。
o capture-paneで行番号を表示するために-L、行フラグを表示するために-Fを追加しました。
o ヒストリから削除または解放する際に、行全体をクリアします。
o 新しいパネルを作成する際に、セッション全体を再描画します。
o kill-sessionに-gフラグを追加し、グループ内のすべてのセッションをキルするようにしました。
o レイアウトセルを解放する際のクラッシュを修正しました。
o 未接続ウィンドウのリネームに欠落していた引数を追加しました。
o バッファにペースト終了の断片が含まれている場合、エスケープ遅延を増やします。
o ソート済みリストに未接続クライアントを含めることによるクラッシュを修正しました。
o new-paneコマンドを追加しました。
o スクロールバーを再描画する際のアンダーフローによる無限ループを修正しました。
o キューされたパネル出力のためのコントロールモードティアダウン順序を修正しました。
o Emacsスタイルの再中央揃え（上/下）を追加しました。
o 一部のループに時間制限を追加しました。
o screen_mode_to_stringに欠落していたフラグを追加しました。
LibreSSLバージョン 4.4.0:
o ポータブル変更:
- AIX、FreeBSD、macOS、MinGW、NetBSD、特にWindows向けの多数の互換性レイヤー修正。
- MSVC ARM64オプティマイザによる定数時間bignumコードの不正なコード生成を修正しました。
- 多くのプラットフォームでアセンブリサポートを改善しました。
- pledge(2)およびunveil(2)を提供するホストで、openssl(1)、nc(1)、ocspcheck(8)がサイレントに実行されるのを修正しました。
o 内部改善:
- PKCS#7のマイナーコードクリーンアップ。
- RFC 3779 IPアドレス範囲の最大値に対して未使用ビットをクリアします。
- DTLSコードのクリーンアップパス、多くのねじれを回避します。
- ML-KEMコードでfailure_keyをゼロクリアします。
- 事前プロセッサベースのSHAアセンブリで移植性を改善します。
- 公開および内部ヘッダーからいくつかの遺存的な#ifdefを削除しました。
- dtls12_handshake_msgフレームワークを導入して使用します。
- uiコードで、union名を_からuに変更します。Windows CE #ifdefを回避します。
- TLSv1.0およびTLSv1.1の削除後、署名アルゴリズムハンドリングをクリーンアップおよび簡素化します。
- ecdh_compute_key()に無限点チェックを追加します。
- 最新X.509検証の到達不能な非レガシーパスでの不正な目的チェックを修正します。
- TLSv1.3サーバーが共有グループなしの場合のハンドリングを改善します。
- HelloRetryRequestsのセカンダリキー共有ハンドリングを修正します。
- crl_cb()でのEXFLAG_CRITICALの誤処理を修正します。
- 同じスコアのCRLの中で、BoringSSLおよびOpenSSLの動作に一致させるために、最も新しいthisUpdateを持つものを優先します。
- DTLSでのシーケンス番号とメッセージヘッダーハンドリングをクリーンアップします。
- b64_write()での冗長なBIO_write()長さアサーションを削除します。
- 不正なbase64 BIO状態をアサートする代わりに、内部エラーとして報告します。
- アンロールおよびインターリーブされたアルゴリズムを使用してSHA-3パフォーマンスを改善します。
- レガシースタックへの切り替え時に、TLSv1.3受信バッファを遅延して割り当てます。
- レガシースタックへの切り替え時に、残りのレコードコンテンツのハンドリングを簡素化します。
- dtls1_ctrl()での戻り値の無害な狭窄を回避します。
- tls1_PRF()からNID_md5_sha1サポートを削除します。
- DTLS未処理レコードキューを削除します。
- DTLSアプリケーションデータキューを削除します。
- SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS（決して設定されなかった）を削除します。
o 互換性変更:
- 名前が誤っているtls_peer_cert_chain_pem()は非推奨となり、将来のリリースで削除される可能性があります。
代わりにtls_peer_cert_chain_verified_pem()およびtls_peer_cert_bundle_unverified_pem()を使用してください。
- libtlsでTLSv1.3接続の優先グループとしてX25519MLKEM768を使用します。
- 将来のOpenSSLリリース（ASN.1文字列のNUL終端を停止する）でもlibtlsが動作し続けることを保証します。これはlibtlsの古いバグであり、おそらくOpenSSL 4.2から問題が発生します。
- CRYPTO_cleanup_all_ex_data()はノードップになりました。スレッドセーフではなく、実際のクリーンアップはOPENSSL_cleanup(3)によって行われます。
- X509_check_ca(3)を最新のOpenSSLに合わせます。X509_check_purpose(3)呼び出し後にのみ機能すると長らく文書化されていましたが、「フェイルクローズ」、つまり非CAを示すことは依然として理にかなっています。
- CCR、ErikIndex、ErikPartition、ErikSegmentIndex、communityDefinitionのOIDを追加しました。
o バグ修正:
- PKCS7_set_{un,}signed_attributes(3)を修正し、失敗時に呼び出し元が解放できるようにしました。二重解放のリスクを回避します。
- TLSキー共有コードでdecode_errorおよびinvalid_key変数を初期化し、未初期化メモリでの分岐を回避します。
- ClientHelloハッシュでタイプとデータの間の拡張長を記録し、最初のCHと2番目のCHで同一のフレーミングを保証します。
- s_client XMSSモードでの境界外書き込みを修正しました。
- openssl(1) ecparamおよびopenssl crlで、EC_GROUP_check(3)およびX509_CRL_verify(3)の失敗が「app」障害につながることを保証します。
- s_socketでの逆引きDNSルックアップ失敗時にacceptを失敗させないようにしました。
- X509V3_EXT_print(3)が0と1のみを返すことを保証します。
- IPAddressFamily_cmp()でNULLに対するmemcmp()の呼び出しを回避します。
- libtlsで、FQDNとして指定されたTLDのワイルドカードマッチングを禁止します。
- カスタムカーブリストでのTLSv1.2の一部の問題を修正しました。
- 提供されたEC公開キーが非圧縮エンコーディングを使用することを保証します。
- ECピア公開鍵のデコード失敗時にdecode_errorアラートを送信します。
- パスワードベースのCMS復号化でのNULL逆参照と境界外読み取りを回避します。
- ASN1_mbstrinc_copy()にいくつかの欠落していた境界チェックを追加します。
- PKCS7_verify(3)で、呼び出し元所有のバッファを解放するのを回避します。
- デフォルトオプションからSSL_OP_LEGACY_SERVER_CONNECTを削除します。
- HelloRetryRequest違反に対する不正なパラメータアラートを送信します。
- サーバーが選択したサイファースイートがTLSv1.2で使用可能であることを確認します。
- ui_open_session()失敗時にCRYPTO_LOCK_UIをアンロックし、デッドロックを回避します。
- openssl(1)でHMAC(3)の戻り値をチェックし、後続の未初期化メモリの使用を回避します。
- supported_groupsがないkey_shareに対する正しいアラートを使用します。
- verifyコールバックが1を返した場合でも、X509_V_ERR_HOSTNAME_MISMATCHをドロップしません。これは非推奨であることが長らく文書化されていますが、一部のアプリケーションでは依然として使用されています。
- サーバーが広告したALPNプロトコルを選択するか、illegal_parameterでハンドシェイクを中止することを保証します。
- コンテンツが省略されたPKCS#7オブジェクトのストリーミングを修正します。
- PKCS7_stream()でのタイプ混同によるOOBアクセスを回避します。
- 設定解析でシーケンスとセットを処理するヘルパーであるasn1_multi()でのリークとその他のバグを修正しました。
- RPKIを壊さない範囲で、リーフのRFC 3779継承チェックを修正します。それでも、RFC 9286マニフェストの約3分の1が無効になるため、直接の発行者が拡張の1つを省略することを許可します。
- dtls1_process_fragment()での不正なサイズチェックを修正しました。
- デルタCRLをフルCRLとして誤解するのを回避します。
- RSA-PSS EVP_PKEY_CTXをコピーする際に、デフォルト値を使用する代わりに、saltlenと最小saltlenの制限がコピーされることを保証します。
- DTLSクライアントが予期しないFinishedメッセージを受信できるようにします。
- 名前制約チェックがより確実に機能するように、検証済みチェーンにリーフを追加する前に、リーフの拡張機能をキャッシュします。
- 電子メールアドレスと共通名について、サブジェクト全体を検索することを保証します。
- ほとんど使用されていないレガシーNAME_CONSTRAINTS*() APIで、電子メールとsubjectAltnameに埋め込まれたNULをチェックします。
- CRL配布ポイント拡張でnameRelativeToCRLIssuerのサポートを削除します。RFC 5280によると、準拠CAは使用すべきではなく、署名前はメモリを大量に消費していました。
o セキュリティおよび信頼性修正:
- X.509名前制約URIホスト解析での解析問題を修正します。IPv6リテラルを正しく処理し、特殊なユーザー情報がホストチェックをバイパスするのを防ぎます。
- バッファリングされたDTLSハンドシェイクメッセージのサイズを制限し、小さなハンドシェイクメッセージフラグメントでの過剰なメモリ消費を回避します。
- tls_config_ocsp_require_stapling()を使用するクライアントに対するOCSPレスポンダー認証バイパスを修正します。OpenBSDのnc(1)とftp(1)のみが「muststaple」キーワードと共に使用される場合に知られています。
o テストとプロアクティブセキュリティ:
- DTLSおよびTLS再ネゴシエーションのテストカバレッジを改善しました。
- Apache2以前のライセンスのBoringSSLからのX.509 CRL回帰を追加しました。
- テストフレームワークをファイルベースからメモリベースに再構築しました。Goの出力形式により近くなりました。
OpenSSH 10.6:
o セキュリティ修正:
- ssh(1) LZ77辞書コーダーを無効にし、潜在的なサイドチャネルリークを回避しました。
- sshd_config(5)でChannelTimeoutおよびRekeyLimitが適用されていなかった問題を修正しました。
- ssh(1) authorized_keysの「restrict」キーワードがトンネル転送に正しく適用されるようにしました。
o 互換性に影響する可能性のある変更:
- ssh-mldsa44-ed25519のIANA割り当てコードポイントを「@openssh.com」の代わりに、使用します。
- sshd_config(5) DisableForwarding=yesがPermitTunnel=yesをオーバーライドするようにしました。
- ssh-agent(1)エージェントキー使用制約でのユーザー名の最大サイズを強制します。
- scp(1) '-O filename'でNULバイトを禁止します。
o 新機能:
- ssh-add(1)にPIN入力をスキップする-Pオプションを追加しました（bz3635）。
- readpassphrase(3)を使用したssh(1)のシグナルハンドリングを修正しました。
- ssh(1)をsupercop ed25519からlibsodiumに切り替えました。
- ssh(1) TCPKeepAliveを転送にも対応するように拡張しました（bz3921）。
- ssh-keygen(1)にキーブロブを16進形式でダンプする「hexdump」を追加しました。
- パスフレーズをリセットする際に、FIDO秘密キーのssh-keygen(1) touch-required/verify-requiredフラグを設定/クリアできるようにしました。
- ssh(1)に-Z user@hostモードを追加し、認証に使用される公開鍵のリストを表示します。
- 複合ポスト量子mldsa44-ed25519署名スキームの実験的なssh(1)サポートを追加しました。
- ssh(1)キー生成関数に明示的シードバリアントを追加しました。
- sshd(8) ed25519検証に署名可変性および公開鍵検証チェックを追加しました。
o バグ修正:
- ssh(1)圧縮ペイロードが最大ペイロード長を超えて展開されないことをチェックします。
- マルチプレキシング制御ソケットを確立する複数のssh(1)プロセス間の競合を回避します。
- ssh-add(1)でのメモリリークを修正しました（CID 913600）。
- ssh(1) CIDs 913601および913602の修正。
- ssh(1) CID 913600の修正。
- ssh(1)チャンネルタイムアウトを、小数およびサブ秒タイムアウトを許可するように変換しました。
- ssh(1)がシグナルを正しくマスキングするためにsigaddsetを使用するようにしました（bz3981）。
- ssh(1)でのメモリリークを修正しました（CID 913598および913599）。セミコロンの欠落を追加しました（CID 913599）。
- ssh(1)による夏時間タイムスタンプ変換を修正しました（bz4004）。
- 最近のpledge(2)変更後のt-multiplexでのssh(1)プロキシソケットの破損を修正しました。
- ssh-keyscan(1)によるサーバーバナーの読み取りが、多数のホストキーキャンでブロック/フリーズしなくなりました。
- ssh(1)エージェントがロックされている場合でも、session-bind@openssh.comリクエストを許可します。
- ssh(1)クライアントでのエラーパスでの再allocのuse-after-freeの可能性を回避します。
- ssh(1)公開鍵認証中に試行される証明書の並べ替え。
- ssh(1) ML-KEM/ECDH相互運用問題を修正しました。
- 認証前の攻撃対象領域から、いくつかの重要なssh(1)解析および検証パスを削除しました。
- ssh(1)ダウンロードをコマンドライン経由で実行する際に、サーバー制御パスへのダウンロードを回避します。
- ssh(1)で潜在的なNULL逆参照を回避します。リモートグロブから受信したファイル名をサニタイズします。
- sshd(8)設定管理コードの大規模なリファクタリング。
- sshd(8)がシステムリゾルバから受信したドメイン名を小文字に強制するようにしました。
- sshd(8)での2つの1バイト境界外読み取りを修正しました。
- preauthからpostauthのsshd(8)プロセスに渡されるトランスポート状態のより厳密な検証。
- ssh(1)クライアントでcipher_init()が失敗した場合のエラーパスでのuse-after-freeを修正しました。
- ssh-agent(1) -Vを追加し、バージョンを表示します。リリンク後にバイナリが機能することを確認するために使用します。
- ssh(1)が無効なサイファー/MACリスト引数を有効として検証するのを停止しました。
- ssh(1)公開鍵認証中のNULL逆参照を修正しました。
- Dropbearが最近-Qオプションを追加したため、ssh(1)でKEXをクエリするためにそれを使用するようにしました（利用可能な場合）。
- ssh(1)動的TCP/IPチャンネルを対話型ではなくバルクとして分類します（bz3958）。
ポートとパッケージ:
o リリース日に以下のアーキテクチャ向けの事前ビルド済みパッケージが利用可能です:
- aarch64 (arm64): 12907
- amd64: 13060
- i386: 10659
- mips64: 9072
- powerpc64: 9564
- sparc64: 10621
o 以下のアーキテクチャ向けのパッケージは、ビルドが完了次第利用可能になります:
- arm
- powerpc
- riscv64
いくつかのハイライト:

o Asterisk 20.21.0 および 22.11.0 o OCaml 4.14.2
o Audacity 3.7.9 o OpenLDAP 2.6.15
o CMake 4.3.5 o PHP 8.3.33, 8.4.26 および
o Chromium 154.0.8037.92 8.5.11
o Emacs 31.1 o Postfix 3.5.28 および 3.11.7
o FFmpeg 9.0.2 o PostgreSQL 18.6
o GCC 16.1.0 o Prism Launcher 11.1.0
o GHC 9.10.3 o Python 2.7.18 および 3.14.7
o GNOME 49 o Qt 5.15.19 (+ kde パッチ) および
o Go 1.27.1 6.11.2
o JDK 11.0.32, 17.0.20, 21.0.12, o R 4.6.1
および 25.0.4 o Ruby 3.3.12, 3.4.11 および 4.0.7
o KDE Gear 26.08.1 o Rust 1.98.1
o KDE Frameworks 6.30.0 o SQLite 3.53.2
o KDE Plasma 6.7.5 o Shotcut 26.8.1
o Krita 6.0.3 o Sudo 1.9.17p2
o LLVM/Clang 21.1.8 および 22.1.8 o Suricata 7.0.7
o LibreOffice 26.8.0.3 o Tcl/Tk 8.5.19, 8.6.18 および 9.0.4
o Lua 5.1.5, 5.2.4, 5.3.6, o TeX Live 2026
5.4.8 および 5.5.1 o Vim 9.2.1125, Neovim 0.12.5 および
o MariaDB 12.3.3 Vim-Classic 2026091
o Mono 6.14.1 o Wayland 1.26.0 (compositors CoW, Labwc, Mango, Niri, Sway, Wayfire を含む)
o Mozilla Firefox 157.0 および o Vulkan 1.4.357.0
ESR 153.4.0 o Xfce 4.20.0
o Mozilla Thunderbird 153.4.0
o Mutt 2.4.2 および NeoMutt 20260616
o Node.js 24.21.0 および Deno 2.9.7
例年通り、マニュアルページやその他のドキュメントに安定した改善が見られます。
システムには、外部サプライヤーからの以下の主要コンポーネントが含まれています:
o Xenocara (X.Org 7.7 ベース、xserver 21.1.24 + パッチ、freetype 2.14.3、fontconfig 2.17.1、Mesa 25.0.7、xterm 410、xkeyboard-config 2.20、fonttosfnt 1.2.5 など)
o LLVM/Clang 22.1.6 (+ パッチ)
o GCC 4.2.1 (+ パッチ) および 3.3.6 (+ パッチ)
o Perl 5.42.3 (+ パッチ)
o pkgconf 3.0.7
o NSD 4.15.2
o Unbound 1.26.1
o Ncurses 6.4
o Binutils 2.17 (+ パッチ)
o GDB 6.3 (+ パッチ)
o Awk 20250116
o Expat 2.8.4
o zlib 1.3.2 (+ パッチ)

セキュリティとエラッタ

リリースごとに発見される既知のセキュリティ脅威やその他の重要な問題に対するパッチを提供しています。セキュリティに関する継続的な研究により、新しいセキュリティ問題を発見し続けており、可能な限り迅速にパッチを提供しています。そのため、定期的に以下のサイトを訪問することをお勧めします。

    https://www.OpenBSD.org/security.html

および
https://www.OpenBSD.org/errata.html

メーリングリストとFAQ

メーリングリストは、OpenBSDのユーザーと開発者の間の重要なコミュニケーション手段です。OpenBSDメーリングリストに関する情報は、以下をご覧ください。

    https://www.OpenBSD.org/mail.html

また、FAQ（よくある質問）も参照することをお勧めします。

    https://www.OpenBSD.org/faq/

寄付

OpenBSDプロジェクトは、寄付によって資金提供されるボランティア主導のソフトウェアグループです。OpenBSD自体に加えて、OpenSSH、LibreSSL、OpenNTPD、OpenSMTPD、遍在するpfパケットフィルタ、ポート開発プロセスにおける質の高い作業など、重要なソフトウェアも開発しています。このエコシステムはすべて同じ資金提供の傘の下で扱われています。

私たちの質の高いソフトウェアが、ビルド/開発インフラストラクチャを維持し、電気/インターネット費用を支払い、非常に生産的な開発者ハッカソンイベントを継続して運営できるようにするための貢献につながることを願っています。

すべての開発者は、寄付をして将来の取り組みを支援することを強く推奨します。プロジェクトへの寄付は非常に感謝されており、詳細は以下で説明されています。

    https://www.OpenBSD.org/donations.html

OpenBSD Foundation

直接的な寄付が難しい方のために、カナダの非営利団体であるOpenBSD Foundation (https://www.openbsdfoundation.org) は、より大きな寄付を受け入れ、領収書を発行することができます。状況によっては、その領収書が事業経費の控除対象となる場合があるため、一部の組織や企業にとっては検討に値します。

財団がプレスリリースに参加する可能性があるため、露出のメリットもあります。その見返りに、財団はこれらの寄付をOpenBSDのインフラストラクチャニーズを支援するために使用します。詳細については、財団のディレクター (directors@openbsdfoundation.org) までお問い合わせください。

リリースソング

OpenBSD 8.0には、「The Simps on AI」という曲が付属しています。この曲の説明は以下で見つけることができます。

    https://www.OpenBSD.org/lyrics.html#80

HTTPSインストール

OpenBSDはHTTPSダウンロード経由で簡単にインストールできます。通常、1つの小さなブートメディア（例: USBフラッシュドライブ）が必要で、残りのファイルはインターネットから直接など、さまざまな場所からインストールできます。HTTPS経由でインストールを実行する際に必要なすべてのドキュメントを見つけることができるように、以下の簡単な手順に従ってください。

OpenBSDを提供するHTTPSミラーのリストについては、以下のいずれかのファイルをお読みになり、お近くのミラーを選択してください。

 https://www.OpenBSD.org/ftp.html
 https://ftp.openbsd.org/pub/OpenBSD/ftplist

2026年10月20日現在、以下のHTTPSミラーサイトには8.0リリースがあります。

 https://cdn.openbsd.org/pub/OpenBSD/8.0/            グローバル
 https://ftp.eu.openbsd.org/pub/OpenBSD/8.0/         ストックホルム、スウェーデン
 https://ftp.hostserver.de/pub/OpenBSD/8.0/          フランクフルト、ドイツ
 https://ftp.bytemine.net/pub/OpenBSD/8.0/           オルデンブルク、ドイツ
 https://ftp.fr.openbsd.org/pub/OpenBSD/8.0/         パリ、フランス
 https://mirror.aarnet.edu.au/pub/OpenBSD/8.0/       ブリスベン、オーストラリア
 https://ftp.usa.openbsd.org/pub/OpenBSD/8.0/        コロラド州、米国
 https://ftp5.usa.openbsd.org/pub/OpenBSD/8.0/       カリフォルニア州、米国
 https://mirror.esc7.net/pub/OpenBSD/8.0/            テキサス州、米国
 https://openbsd.cs.toronto.edu/pub/OpenBSD/8.0/     トロント、カナダ
 https://cloudflare.cdn.openbsd.org/pub/OpenBSD/8.0/ グローバル
 https://fastly.cdn.openbsd.org/pub/OpenBSD/8.0/     グローバル

 リリースはマスターサイトでも利用可能です。

 https://ftp.openbsd.org/pub/OpenBSD/8.0/            アルバータ州、カナダ

 ただし、ミラーの使用を強く推奨します。

その他のミラーサイトは、更新に1〜2日かかる場合があります。

そのHTTPSミラーサイトに接続し、pub/OpenBSD/8.0/ ディレクトリに入ります。ここには以下のファイルとディレクトリがあります。

 ANNOUNCEMENT     armv7/        octeon/             root.mail
 README           hppa/         openbsd-80-base.pub sparc64/ 
 SHA256           i386/         packages/           src.tar.gz
 SHA256.sig       landisk/      packages-stable/    sys.tar.gz
 alpha/           loongson/     ports.tar.gz        xenocara.tar.gz
 amd64/           luna88k/      powerpc64/ 
 arm64/           macppc/       riscv64/

OpenBSDがサポートするすべてのアーキテクチャに適用される、少なくとも以下のファイルが必要になる可能性が高いです。

 README          - 一般的なREADME
 root.mail       - 初回ログイン時のrootのメールのコピー。
                   (これは本当に読む価値があります)。

READMEファイルを読んでください。短く、すぐに読めるので、他に何をフェッチする必要があるかを理解できます。
次に、お使いのアーキテクチャに適用されるディレクトリに入ります。例えば、amd64です。以下のようなものが見えるはずです。
```
 BOOTIA32.EFI*   bsd*            floppy80.img    pxeboot*
 BOOTX64.EFI*    bsd.mp*         game80.tgz      xbase80.tgz
 BUILDINFO       bsd.rd*         index.txt       xfont80.tgz
 INSTALL.amd64   cd80.iso        install80.img   xserv80.tgz
 SHA256          cdboot*         install80.iso   xshare80.tgz
 SHA256.sig      cdbr*           man80.tgz
 base80.tgz      comp80.tgz      miniroot80.img
```
OpenBSDが初めての場合は、少なくともINSTALL.amd64ファイルとinstall80.isoをフェッチしてください。install80.isoファイル（約794MB）は、さまざまな*.tgzファイルが含まれているワンステップISO形式のインストールCDイメージなので、それらを個別にフェッチする必要はありません。

USBフラッシュドライブを使用したい場合は、install80.imgをフェッチし、INSTALL.amd64の手順に従ってください。
経験豊富なユーザーの場合は、READMEという名前のファイルの手順に従ってください。それ以外の場合は、より完全な手順が記載されているINSTALL.amd64ファイルを使用してください。INSTALL.amd64では、他のファイルをフェッチする必要がある場合があることを示している場合があります。
万が一のために、以下を確認してください。
```
 https://www.OpenBSD.org/errata.html
```
これは、8.0リリース作成中に犯した間違い、またはリリース後に修正された重要なバグで、ユーザーに修正が必要だと考えるものについて説明しているページです。パッチと回避策が明確に記載されています。

X.ORG（ほとんどのアーキテクチャ向け）

X.Orgがシステムにより密接に統合されました。このリリースにはX.Org 7.7が含まれています。ほとんどのアーキテクチャ（amd64、sparc64、macppcを含む）でX.Orgが出荷されます。インストール中に、xdm(1)からフォークされた簡略化されたX11ディスプレイマネージャーであるxenodm(1)を使用して、X.Orgを非常に簡単にインストールできます。

パッケージとポート

多くのサードパーティ製ソフトウェアアプリケーションがOpenBSDに移植されており、さまざまなOpenBSDアーキテクチャで事前コンパイル済みのバイナリパッケージとしてインストールできます。パッケージとポートの操作に関する詳細については、https://www.openbsd.org/faq/faq15.html を参照してください。

注: NSD、Unbound、およびいくつかのXアプリケーションなど、いくつかの人気のあるポートはOpenBSDに標準で含まれており、個別にインストールする必要はありません。

システムソースコード

4つのサブシステムのソースコードは、pub/OpenBSD/8.0/ ディレクトリにあります。

    xenocara.tar.gz     ports.tar.gz   src.tar.gz     sys.tar.gz

READMEファイル（https://ftp.OpenBSD.org/pub/OpenBSD/8.0/README）には、これらのソースファイルを扱う方法が説明されています。

感謝

ポートツリーとパッケージビルド: Jeremie Courreges-Anglas、Visa Hankala、Stuart Henderson、Peter Hessler、George Koehler、Kurt Mosiejczuk、Christian Weisgerber。ベースおよびXシステムビルド: Kenji Aoyama、Theo de Raadt。リリースアート: "yvaneht nioj and clanker"。

バグレポート、バグ修正、寄付小切手、および使用したハードウェアを送ってくださったすべての方々に感謝いたします。以前のCDセットを購入してくださった方々にも感謝いたします。経済的に支援してくださらなかった方々も、ソフトウェアの品質向上という私たちの目標に貢献してくれました。

開発者リスト:

Aaron Bieber, Adam Wolk, Aisha Tammy, Alexander Bluhm,
Alexander Hall, Alexandr Nedvedicky, Alexandr Shadchin,
Alexandre Ratchov, Andrew Hewus Fresh, Anil Madhavapeddy,
Anthony J. Bentley, Antoine Jacoutot, Anton Lindqvist, Asou Masato,
Ayaka Koshibe, Benoit Lecocq, Bjorn Ketelaars, Bob Beck,
Brandon Mercer, Brent Cook, Bryan Steele, Can Erkin Acar,
Caspar Schutijser, Charlene Wendling, Charles Longeau,
Chris Cappuccio, Christian Ludwig, Christian Weisgerber,
Christopher Zimmermann, Claudio Jeker, Dale Rahn, Damien Miller,
Daniel Dickman, Daniel Jakots, Darren Tucker, Dave Voutila,
David Coppa, David Gwynne, David Hill, David Leadbeater,
Denis Fondras, Edd Barrett, Eric Faurot, Florian Obser,
Florian Riehm, Frederic Cambus, George Koehler, Gerhard Roth,
Giannis Tsaraias, Gilles Chehade, Giovanni Bechis, Gleydson Soares,
Gonzalo L. Rodriguez, Greg Steuck, Hans-Joerg Hoexer, Helg Bredow,
Henning Brauer, Ian Darwin, Igor Sobrado, Ingo Feinerer,
Ingo Schwarze, James Hastings, James Turner, Jan Klemkow,
Jason McIntyre, Jasper Lievisse Adriaanse, Jeremie Courreges-Anglas,
Jeremy Evans, Job Snijders, Joel Sing, Joerg Jung,
Johannes Thyssen Tishman, Jonathan Armani, Jonathan Gray,
Jonathan Matthew, Jordan Hargrave, Josh Rickmar, Joshua Sing,
Joshua Stein, Juan Francisco Cantero Hurtado, Kazuya Goda,
Kenji Aoyama, Kenjiro Nakayama, Kenneth R Westerback,
Kent R. Spillner, Kevin Lo, Kirill A. Korinsky, Kirill Bychkov,
Klemens Nanni, Kurt Miller, Kurt Mosiejczuk, Landry Breuil,
Lawrence Teo, Lucas Gabriel Vuotto, Lucas Raab, Marcus Glocker,
Mark Kettenis, Mark Lumsden, Markus Friedl, Martijn van Duren,
Martin Natano, Martin Reindl, Martynas Venckus, Matthew Dempsky,
Matthias Kilian, Matthieu Herrb, Michael Mikonos, Mike Belopuhov,
Mike Larkin, Miod Vallat, Moritz Buhl, Nam Nguyen,
Nayden Markatchev, Nicholas Marriott, Nigel Taylor, Okan Demirmen,
Omar Polo, Ori Bernstein, Otto Moerbeek, Paco Esteban,
Pamela Mosiejczuk, Pascal Stumpf, Patrick Wildt, Paul Irofti,
Pavel Korovin, Peter Hessler, Philip Guenther,
Pierre-Emmanuel Andre, Pratik Vyas, Rafael Sadowski,
Rafael Zalamena, Ralph Covelli, Raphael Graf, Remi Locherer,
Remi Pointel, Renato Westphal, Renaud Allard, Ricardo Mestre,
Richard Procter, Rob Pierce, Robert Nagy, Sasano Takayoshi,
Scott Soule Cheloha, Sebastian Benoit, Sebastian Reitenbach,
Sebastien Marie, Solene Rapenne, Stefan Fritsch, Stefan Hagen,
Stefan Kempf, Stefan Sperling, Steven Mestdagh, Stuart Cassoff,
Stuart Henderson, Sunil Nimmagadda, T.J. Townsend, Ted Unangst,
Theo Buehler, Theo de Raadt, Thomas Frohwein, Tim van der Molen,
Tobias Heider, Tobias Stoeckmann, Todd C. Miller, Todd Mortimer,
Tom Cosgrove, Tracey Emery, Ulf Brosziewski, Uwe Stuehler,
Vadim Zhukov, Vincent Gross, Visa Hankala, Vitaliy Makkoveev,
Volker Schlecht, Yasuoka Masahiko, Yojiro Uo

[前のリスト][次のリスト] [前のスレッド][次のスレッド]