Даже OpenBSD, известной строгим подходом к защите, понадобились заплатки в день крупного релиза. 20 октября разработчики представили OpenBSD 8.0 и в тот же день опубликовали четыре исправления для новой системы. Шестьдесят первый выпуск принёс обновлённые защитные механизмы, поддержку более мощных виртуальных машин, новые сетевые возможности и новую версию OpenSSH.
Самое тревожное исправление касается IPsec с алгоритмом AES-GMAC. Ошибка могла вызвать переполнение памяти ядра при удалённой атаке на определённые аппаратные конфигурации. Под угрозой находились платформы amd64 с AES-NI и octeon с криптографическим сопроцессором. Реализация AES-GCM, согласно уведомлению разработчиков, не пострадала.
В перечень первых исправлений также вошли ошибки DNS-сервера NSD, проблемы драйвера video с риском обращения к освобождённой памяти и выход за границу буфера в подсистеме PPP. Страница исправлений перечисляет три обновления безопасности и одно обновление надёжности, опубликованные в первый день. Для распространённых архитектур доступны двоичные патчи через syspatch.
В OpenBSD 8.0 усилили сетевые службы. При каждой загрузке система случайным образом перекомпоновывает исполняемые файлы веб-сервера httpd и почтового сервера smtpd, усложняя атаки с опорой на постоянные адреса. httpd блокирует HTTP-запросы с конфликтующими указаниями длины тела. Код smtpd также изменили, чтобы снизить число ложных сообщений об ошибках от сканеров на базе языковых моделей.
В состав системы вошла OpenSSH 10.6. Разработчики отключили словарное сжатие LZ77 в клиенте SSH из-за потенциальной утечки через побочный канал и исправили применение ограничений ChannelTimeout и RekeyLimit на сервере. Добавлена экспериментальная поддержка составной постквантовой подписи ML-DSA с Ed25519. Проверки ключей и обработку данных до входа пользователя также ужесточили.
Защиту других компонентов тоже пересмотрели. Сервер DHCP перестал принимать некоторые некорректные данные, способные вызвать сбой или исчерпание памяти. Архиватор pax больше не должен извлекать файлы за пределы рабочего каталога. На фоне выхода версии остаётся актуальной история эксплойта Big Fish, использовавшего цепочку старых ошибок ядра для локального получения root.
Выросли возможности системы виртуализации. Встроенный компонент vmd теперь поддерживает до 64 виртуальных процессоров в одной гостевой машине. На amd64 пространство виртуальных адресов ядра расширили с 4 до 512 ГБ, а прямое отображение физической памяти разместили по случайному адресу. По сравнению с OpenBSD 7.9 расширились возможности виртуализации и поддержки современного оборудования.
Для arm64 добавили гибернацию, для RISC-V поддержку векторных инструкций и новых механизмов прерываний. Графический стек обновили до уровня Linux 6.18.53, включая поддержку видеокарт Intel Arc A-Series. В LibreSSL 4.4.0 предпочтительной группой для TLS 1.3 стала гибридная X25519MLKEM768. Выпуск доступен на официальных зеркалах, а для перехода с 7.9 опубликована инструкция.