Homebrew пусна версия 7.0.0, въвеждайки собствен скенер за уязвимости, база данни със съвети за сигурност, специфична за Homebrew, по-силна изолирана среда и по-бързи работни процеси за инсталиране на пакети.

Релизът също така прекратява поддръжката за macOS Catalina 10.15 и премества базираните на Intel компютри Mac към ниво на поддръжка Tier 3. Най-фокусираното върху сигурността допълнение е новата команда brew vulns.

Тя позволява на потребителите и екипите по сигурност да сканират инсталираните формули за известни уязвимости, без да инсталират отделен tap или Ruby gem. Командата използва новата база данни със съвети на Homebrew и данни за уязвимости от OSV.dev, за да идентифицира засегнатите пакети.

Скенерът може да проверява инсталираните формули, зависимости и Brewfiles. Потребителите могат да филтрират констатациите по степен на сериозност, да преглеждат пакети с налични корекции, да идентифицират уязвимости, които към момента нямат налични решения за отстраняване, и да изброяват пакети, които са пропуснати, защото произхождат от ненадеждни източници (taps).

Homebrew 7.0.0 добавя скенер за уязвимости

Това прави командата полезна за работни станции на разработчици, CI конвейери, одити на сигурността и прегледи на софтуерния инвентар. Базата данни със съвети на Homebrew е проектирана да проследява уязвимости спрямо точните версии и ревизии на формулите, разпространявани от Homebrew.

Това е важно, тъй като Homebrew може да пренесе корекция за сигурност към по-стара версия (backport), без да актуализира пакета до най-новата версия от основния разработчик. Следователно базата данни може да помогне за разграничаване между пакет, който изглежда остарял, и такъв, който вече е получил корекция.

Homebrew също така публикува данни за съвети за сигурност чрез своето API за формули и индекс във формат OSV, който може да бъде изтеглен. Версията укрепва изолацията на пакетите както под macOS, така и под Linux. Под macOS Homebrew вече допълнително ограничава операциите с формули и casks в своята изолирана среда.

По подразбиране тя блокира четенето от домашната директория на потребителя в изолираната среда, намалявайки шанса изграждането на пакет да достъпи несвързани лични файлове. Въвеждат се и частни временни директории за локална комуникация между инструментите за изграждане без да се разрешава мрежов достъп.

Homebrew също така премества изтеглянето на зависимости в отделна фаза на извличане (fetch). По време на извличането пакетите могат да използват мрежов достъп и кешове с възможност за запис.

По време на инсталацията мрежовият достъп е деактивиран, а кешовете стават само за четене. Този дизайн намалява риска от неочаквани изтегляния или външна мрежова активност по време на изграждането на пакет.

Актуализацията отстранява уязвимост с умерена сериозност, проследявана като GHSA-5263-whxq-77hp. Злонамерен cask би могъл потенциално да изпълни код извън изолираната среда за инсталиране на macOS чрез LaunchServices. Homebrew 7.0.0 ограничава стартирането на приложения, Mach услугите и Unix сокет връзките, за да отстрани този проблем.

За потребителите на Linux Homebrew заменя изолираната среда Bubblewrap с Landlock. Проектът заяви, че Landlock избягва изискванията за зависимости и повишени привилегии в Docker, които са причинявали проблеми при внедряване с Bubblewrap. Системи без Landlock все още могат да стартират Homebrew, но brew doctor ще докладва за липсващата защита на изолираната среда.

Homebrew 7.0.0 също така подобрява производителността чрез припокриване на задачите за изтегляне, подготовка на пакети и инсталация. Инструментът повторно използва анализирани данни от API, докато продължава да потвърждава подписите, намалява подпроцесите при стартиране и ускорява командите за почистване, извличане, актуализиране и диагностика.

macOS Catalina 10.15 вече не се поддържа. Компютрите Intel Mac вече са в ниво Tier 3, което означава, че няма да получават нови предварително компилирани пакети (bottles) и може да се наложи компилиране от исходен код за актуализирани формули. Homebrew планира напълно да спре работата си върху Intel Mac през септември 2027 г.