Tumbleweed 每月更新 - 2025 年 1 月

Tumbleweed 仍然是可靠滚动发布的强大示例，当我们步入 2025 年时。本月发布了多个快照和各种更新！本月快照中发布了两个备受期待的主要版本更新；GIMP 的发布候选版本让用户可以很好地了解 3.0 版本，而 libvirt 11.0.0 提高了虚拟化性能、稳定性和灵活性。KDE Gear 24.12.1 改进了应用程序的可用性，KDE Plasma 6.2.5 带来了一些额外的稳定性。

如果出现任何问题，请务必使用 snapper 回滚。

祝您更新愉快，一路顺风！

有关本月更改日志的更多详细信息，请访问 openSUSE Factory 邮件列表。

新功能和增强功能

GIMP 3.0.0~RC2：这标志着一个重大的飞跃，升级到 3.0 版本，并带来了重要的更新和修复。构建过程经过简化，改进了字体处理，例如用 Google Noto Sans 替换 Bitstream Vera，并确保即使缺少字体也能保持稳定性。Python 运行时依赖项和使用 libbacktrace 增强的调试支持可确保更流畅的构建和更好的问题解决。实验性功能（如 Lua 插件）现在已设置为可选使用，并且从 Fedora 导入的补丁改进了系统监视器配置文件默认值、外部帮助浏览器支持和隐私设置。这些更新使 GIMP 的架构现代化，并为最终的 3.0 版本做好准备。

KDE Gear 24.12.1：此版本的重要更新包括对 Dolphin 的更新，改进了 X11 上的行为，修复了重命名时缩略图更新的问题，并确保了搜索框初始化修复。对于 Itinerary，对行程组处理进行了增强；天气预报也得到了改进，并针对崩溃预防进行了优化。Kdenlive 解决了时间线问题，修复了崩溃，改进了布局处理并恢复了效果预设。KMail 改进了搜索功能，KPublicTransport 增强了车站名称识别。

KDE Plasma 6.2.5：Discover 应用商店修复了重叠的更新描述文本，kpipewire 修复了流式传输失败更新时的问题。Plasma 更新还通过添加一个虚拟剪贴板来防止崩溃。一些屏幕共享问题通过 KWin 得到解决。PowerDevil 解决了 unloadAllActiveActions 中的崩溃问题，Plasma Networkmanager 恢复了修复断开连接后连接速度选项卡仍然可见的问题。

Rsync 3.4.1：此更新带来了关键的错误修复和安全增强。主要更新包括改进了对 -H 标志的处理，解决了 rename 日志记录中的 use-after-free 问题，并删除了捆绑的 popt 中对 alloca() 的依赖。安全修复解决了多个漏洞，例如 CVE-2024-12747，它缓解了处理符号链接时的竞争条件，以及 CVE-2024-12084 到 CVE-2024-12088，解决了堆缓冲区溢出、信息泄露和目录遍历风险。该更新还引入了协议版本 32，并改进了开发人员工具，以提高权限处理能力。

libvirt 11.0.0：此主要版本添加了 Linux 主机桥接上的网络接口 VLAN 标记和中继支持，并允许域使用高级 tlbflush Hyper-V 功能。现在支持用户定义的设备别名，用于域 XML 和 virtiofs 只读模式。还引入了增强的 vGPU 迁移，可在 mdev 和 SRIOV VF 设备之间进行迁移。关键修复解决了瞬态域 TPM 配置文件崩溃、带有快照的磁盘镜像删除以及后复制迁移恢复错误，以及改进了域 XML 格式和 CPU 模型支持。

libcdio 2.2.0：该库现在使用 GNU/Linux 的新 ioctl，内核版本为 5.16+，并集成了 GitHub CI 检查，以获得更好的开发工作流程。此外，该更新确保了与 widestring API 的兼容性，并提供了更好的 pkg-config 检测。

Amarok 3.2.1 & 3.2.2：Amarok 引入了 Qt6 和 KF6 兼容性，支持 gpodder、last.fm 和 Wikipedia 上下文小程序。现在可以按空标签过滤集合，并且默认情况下显示当前曲目的上下文视图小程序。关键修复解决了在传输到 MTP 设备的 文件、Ampache 登录和集合过滤期间的崩溃。其他改进包括减少了对 MTP 设备的查询泛洪，改进了上下文视图中字体大小的限制，并增强了与编译器和 Qt6 版本的兼容性。Amarok 现在依赖于 KDE Frameworks 5.108，标志着向现代化构建和更好稳定性的迈进。

libxml2 2.13.5：新功能包括添加了用于更可靠的 malloc 失败报告和特定于上下文的错误处理程序的 API，例如 xmlCtxtSetErrorHandler。该更新引入了 XML_PARSE_NO_XXE 解析器选项，通过禁用外部实体加载来增强安全性。关键的错误修复解决了 xmlIO、xmlreader 中的回归以及参数实体处理问题。此外，显著的优化确保了与现代系统的更好兼容性、改进的错误处理以及对新配置的支持。已弃用的功能（如 HTTP POST 支持和遗留 FTP 功能）正在逐步淘汰，这反映了向简化和安全的 XML 处理转变。

关键软件包更新

Kernel Source 6.12.8, 6.12.10 和 6.13.0：该滚动发布是首批更新到 6.13 内核的发行版之一，其显著变化包括对 Intel Raptor Lake-P (bsc#1234623) 上 PIO 日志大小调整的 PCI/DPC 异常。该更新还删除了 Nouveau 背光控制的主线补丁，并包含刷新后的配置。增强的 USB 处理、对各种 arm 平台的支持以及对 IIO 设备的多个错误修复已包含在之前的内核更新中。关键更改解决了漏洞，提高了稳定性，并改进了各个子系统中的硬件兼容性。版本 6.12.8 对 ALSA 和蓝牙子系统进行了增强，以解决内存泄漏和无效参数处理等问题。Btrfs 接收到了针对竞争条件的修复，并对电源管理驱动程序进行了改进。

btrfs-progs 6.12：此更新包括对可访问子卷的递归子卷删除以及在 mkfs 中使用 --subvol 选项创建具有特定属性（只读、读写或默认）的子卷。其他值得注意的改进包括在 --rootdir 选项中检测硬链接，改进了 receive 中的详细程度，以及更准确地处理 check 中的压缩范围。该版本还解决了几个错误，例如误报的校验和报告以及在 rescue clear-ino-cache 中不正确的子卷迭代。

Systemd 257.2：此包的关键更新包括对 user@.service 的改进。各种补丁，例如修复 TPM2 工具和 initrd_prepare 行为，已被集成到上游。虽然测试套件现在需要克隆 systemd 存储库，因为上游的更改；正在努力调整子包。

Mesa 24.3.3：此版本中的修复包括解决 Portal 2 和 Half-Life 2 中的渲染问题，解决 Artifact Classic 中的崩溃，并修复了在 RS480M GPU 上破坏 Wayland 的回归。其他更新修复了 X-Plane 12 中的 prop disc 渲染，改进了 R6700XT 上带有适当 QP 值处理的 H264/H265 VAAPI 编码，并解决了 Arc b580 GPU 上 Age of Mythology Retold 中的缺失文本。

HarfBuzz 10.2.0：此包带来了字体处理改进。Unicode 变体选择器现在在“cmap”表子集中被考虑，而 hb_cairo_glyphs_from_buffer() 中格式错误的 UTF-8 字符串得到了更好的保护。渲染和解析都得到了显著的修复，包括对“COLR” v1 字形的缩放进行了更正，以及在 hb-subset 工具中进行区域设置无关的双数字解析。新的 API 实现了高级字体表序列化、重新打包和字体变体设置转换。

Coreutils 9.6：此版本解决了多个错误修复，例如更正了 cp、mv、ls 和 tail 中的问题，提高了可靠性和对 POSIX 标准的符合性。增强功能包括 cksum 中的 CRC32b 支持、printf 中的索引参数以及 test 中的 POSIX:2024 字符串比较等新功能。性能改进影响了关键实用程序，例如 wc、cksum 和 sort，以确保在现代系统上更快地运行。

PHP 8.3.16：此软件包提供了核心功能和扩展中广泛的错误修复和稳定性改进。增强功能包括解决 DatePeriod、SimpleXML 和 FFI 中的问题，修复 LibXML 和 Sockets 等组件中的内存泄漏，并改进对 RFC 6890 等 IP 过滤标准的合规性。关键修复涵盖了 DOM 和 Iconv 中的使用后释放 (UAF) 等漏洞，Gettext 和 Phar 中的段错误，以及 Streams 中的溢出问题。开发人员将受益于改进的错误处理、兼容性更新以及对 proc_open() 等关键函数的安全措施强化。

Flatpak 1.16.0：最新版本具有新的环境变量，如 FLATPAK_TTY_PROGRESS、FLATPAK_DATA_DIR 和 FLATPAK_DOWNLOAD_TMPDIR，它们为配置运行时行为提供更大的灵活性，例如进度指示器和替代目录路径。值得注意的错误修复包括改进了对悬挂符号链接的处理，对 libflatpak 中的内省注释进行了更正，并解决了 Wayland socket 处理方面的回归问题。其他改进可确保更流畅的操作和兼容性，包括对终端进度指示器的修复以及缺失测试数据的安装。

错误修复和安全更新

本月解决了几个关键的安全漏洞

Rsync 3.4.1:

• CVE-2024-12747：修复了处理符号链接中的竞争条件。
• CVE-2024-12084：解决了校验和解析中的堆缓冲区溢出问题。
• CVE-2024-12085：修复了通过未初始化的堆栈内容导致的信息泄露，从而破坏了 ASLR。
• CVE-2024-12086：解决了服务器泄露任意客户端文件的问题。
• CVE-2024-12087：解决了允许服务器使用符号链接使客户端将文件写入目标目录之外的问题。
• CVE-2024-12088：修复了 --safe-links 功能的绕过。

git 2.48.1:

• CVE-2024-50349：修复了一个问题，即伪造的 URL 可能会注入 ANSI 转义序列，可能导致用户被误导将凭据发送到恶意主机。
• CVE-2024-52006：解决了凭据助手中不正确处理行尾的问题，防止了凭据泄露。

HPLIP:

• CVE-2020-6923：修复了 HPLIP 3.20.8 及更早版本中的内存缓冲区溢出漏洞，该漏洞可能允许执行任意代码或导致拒绝服务。

libxml2 2.13.5:

• CVE-2024-40896：修复了在处理带有伪造叠加图像偏移量的 HEIF 文件时发生的越界读取和写入漏洞。

Raptor:

• CVE-2024-57823：添加了补丁以修复整数下溢，这可能导致潜在的漏洞。

Mozilla Firefox 134.0:

• CVE-2025-0244：在 Firefox for Android 上使用无效协议方案进行地址栏欺骗。
• CVE-2025-0245：Firefox Focus for Android 中的锁屏设置绕过。
• CVE-2025-0246：在 Firefox for Android 上使用无效协议方案进行地址栏欺骗。
• CVE-2025-0237：WebChannel API 容易受到混淆代理攻击。
• CVE-2025-0238：在文本中换行时发生使用后释放。
• CVE-2025-0239：重定向时 Alt-Svc ALPN 验证失败。
• CVE-2025-0240：解析 JavaScript JSON 模块时的隔间不匹配。
• CVE-2025-0241：使用 JavaScript 文本分段时发生内存损坏。
• CVE-2025-0242：修复了 Firefox 和 Thunderbird 的多个版本中的内存安全漏洞。
• CVE-2025-0243：影响 Firefox、Thunderbird 和 ESR 版本的内存安全漏洞。
• CVE-2025-0247：在 Firefox 134 和 Thunderbird 134 中修复了内存安全漏洞。

openssl-3

• CVE-2024-13176：ECDSA 签名计算中的时序侧信道漏洞可能允许攻击者恢复私钥。

结论

KDE 用户将欣赏最新 KDE Gear 和 Plasma 版本提供的改进体验，具有改进的可用性和错误修复。在底层，Tumbleweed 继续接收关键更新，包括 Rsync 的安全增强以及 libxml2 的改进 XML 处理。这些更新以及众多其他更新继续使 Tumbleweed 成为一个安全、稳定且有用的开源平台。

缓慢推出

请注意，这些更新也适用于 Slowroll，并且在 Tumbleweed 快照发布后平均 5 到 10 天到达。这种每月的方法已经保持了许多个月，确保了稳定性和对用户的及时增强。

为 openSUSE Tumbleweed 做出贡献

通过订阅 openSUSE Factory 邮件列表，及时了解最新的快照。对于想要贡献或想要参与详细技术讨论的 Tumbleweed 用户，请订阅 openSUSE Factory 邮件列表 。openSUSE 团队鼓励用户通过错误报告、功能建议和讨论继续参与。

您的贡献和反馈使每次更新的 openSUSE Tumbleweed 变得更好。无论您是报告错误、建议功能还是参与社区讨论，您的参与都备受重视。