02Поддержка ARM продвигается благодаря интеграции среды выполнения и проверкам установки
ryanrhughes открыл предложение по среде выполнения для NVIDIA N1x и предложение по ISO для aarch64 10 октября. Оба позднее вошли в quattro, 15 октября, уже за пределами периода, охватываемого этим выпуском: omacom/omarchy#14820 и omacom/omarchy-iso#251. Их нынешние описания охватывают более широкую поддержку N1x, Snapdragon и GB10; эти позднейшие описания не следует считать исходным объёмом работ на день открытия. Здесь под 'периодом выпуска' имеется в виду период освещения событий.
10 октября в quattro также появился коммит 
omarchybot по унификации поддержки Mac: он добавил настройку с учётом платформы и интеграцию жизненного цикла загрузки. Эта интеграция зафиксирована в omacom/omarchy@e1b0e5e9bb72. Отдельные коммиты ISO, автором которых указан Emir Beganovic, а среди зарегистрированных участников — '
emirb', добавили автоматическую установку на обычные системы aarch64 и проверки загрузки. Они также перевели сжатие корневой файловой системы live-среды на lz4, поскольку универсальное ядро не могло читать squashfs, сжатую zstd.
ryanrhughes также добавил установку набора ключей Arch Linux ARM в целевую систему и проверку подписей с его помощью. Это устраняет ситуацию, когда установленная система отклоняет подписанные пакеты при первой операции с пакетами через интернет. Исправление зафиксировано в omacom/omarchy-iso@2487d3b1cb7e; эти коммиты и слияния в ветки разработки не означают выхода стабильного релиза для ARM.
04На фоне сообщения о блокировке устройств ввода предложен откат механизма одобрения периферии
gavrix сообщил, что USBGuard заблокировал и клавиатуру, и мышь, подключённые через монитор Dell, который использовался как KVM-переключатель. В результате не осталось работающих устройств ввода, с помощью которых можно было бы разрешить их подключение. По сообщению пользователя, для восстановления пришлось загрузиться из снимка системы и отключить USBGuard. Последствия для пользователя описаны в omacom/omarchy#11874:issuecomment-6102552400.
Поздно вечером 10 октября omarchybot открыл omacom/omarchy#14938 с предложением отменить авторизацию устройств USB и Thunderbolt. Текущее описание также предусматривает миграцию, отменяющую уже установленные механизмы контроля и ограничения загрузки: простое удаление исходного кода оставило бы защиту включённой, но лишило бы пользователя средств одобрения устройств. Опубликованный в тот же день отчёт omarchybot'а описывал проверки в одноразовых рабочих окружениях и прямо указывал, что восстановление состояния прошивки физических устройств Thunderbolt не проверялось.
Предложение об откате закрыли без слияния 12 октября, уже за пределами периода обзора. Поэтому его текущее состояние не подтверждает, что предложенное удаление попало в quattro.
06Предложение компактного сетевого установщика для USB закрыли из-за затрат на сопровождение
В omacom/omarchy-iso#256 
Tsurgcom предложил сетевой установочный образ, который помещался бы на USB-накопитель с заявленной ёмкостью 4 ГБ. По словам автора, исключение встроенного зеркала пакетов позволило получить образ размером около 1.41 ГиБ, но вместо автономной установки потребовалось бы работающее подключение к интернету.
Проверка в работающей системе выявила ошибки первоначального заполнения хранилища ключей и разбора результатов сканирования Wi-Fi. Tsurgcom сообщил, что исправил их, а затем устранил проблему с сокетами агентов, случайно попавшими в исходный набор хранилища ключей. Согласно отчёту автор'а о тестировании в omacom/omarchy-iso#256:issuecomment-6101577594, пересобранный образ затем успешно выполнил автоматическую сетевую установку и перезагрузку, после которой не было служб в состоянии ошибки.
dhh отказался добавлять ещё один режим установки из-за уже существующей нагрузки по сопровождению ISO, оставив возможность поддерживать такой вариант независимо. Предложение закрыли без слияния 10 октября. Решение зафиксировано в omacom/omarchy-iso#256:issuecomment-6103168854.
07Piphone появился в каталоге после исправлений доступа к телефону и ограничений по приложениям
Piphone, представленный 
areu01or00, позволяет управлять iPhone через виджет и панель Omarchy с помощью WebDriverAgent и расширения Pi. После проверки сопровождающим 
github-actions[bot] сообщил о публикации проверенного снимка плагина в каталоге. Публикация зафиксирована в omacom/omarchy-plugin-marketplace#10915:issuecomment-6098503193.
Проверка со стороны 
HANCORE-linux'а выявила локальный доступ к точкам управления телефоном без аутентификации и раскрытие закрытых данных профиля. areu01or00 заменил прямые точки доступа Unix-сокетами, доступными только владельцу, ужесточил обработку профилей и изолировал используемый туннель в отдельном сетевом пространстве имён. Последующие исправления добавили проверку фактически активного приложения перед действиями и повторную проверку после отправки одобрения, а также остановку наблюдателей, когда их приложение выходило за разрешённые пределы.
HANCORE-linux принял проверенные исправления точек доступа, профилей, туннеля и ограничений по приложениям, при этом потребовав вручную выполнять локальную сборку, настройку подписанного WebDriverAgent и конфигурацию Pi и модели. Решение зафиксировано в omacom/omarchy-plugin-marketplace#10915:issuecomment-6098467632. Отметка о проверке в каталоге относится к рассмотренному снимку и не является аудитом безопасности.
08Проверка Omabump выявила уязвимость в привилегированном хуке обновления Voxtype
Запрос 
Vladkarok'а на проверку более нового снимка Omabump остаётся открытым в omacom/omarchy-plugin-marketplace#10910. Во время проверки HANCORE-linux обнаружил хук пакета Voxtype, который читал файл передачи состояния из общего временного каталога без проверки владельца и принимал контролируемый злоумышленником исполняемый файл в качестве системной программы запуска.
Vladkarok подтвердил механизм и пояснил, что тот же хук выполняется при обычных обновлениях пакета, поэтому исправлять нужно пакет, а не плагин. Автор описал предлагаемое изменение с использованием хранилища, доступного только root, и ограничением путей к восстанавливаемым исполняемым файлам, после чего запланировал обновить закреплённый рецепт Omabump'а, когда это исправление будет принято. Ответ зафиксирован в omacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843; предоставленное обсуждение не подтверждает, что исправление пакета завершено.
09При проверке Ward возник вопрос об утечке данных через доступ к каталогам только для чтения
Предложение Ward от 
jacob-vincent-mink'а остаётся открытым в omacom/omarchy#10974. В текущем описании предлагаются изолированные рабочие процессы сторонних компонентов Quickshell с одобрением конкретных ревизий и выборочным предоставлением доступа. При этом подготовка нативных пакетов, маршрутизация через реестр и более широкие приёмочные проверки указаны как незавершённые.
10 октября рецензент 
SorenHJohansen сообщил, что разрешения только на чтение могут раскрывать защищённую конфигурацию основной системы даже для тех каталогов, доступ к которым на запись отклоняется. Рецензент описал воспроизведение проблемы с прохождением всей процедуры одобрения и запросил либо запрет доступа к этим корневым каталогам в обоих режимах, либо явное описание того, какие данные могут раскрываться. В той же рецензии отмечались проблемы с путями к компилятору и графическим окружением в необязательных тестах. omacom/omarchy#10974:issuecomment-6102074229 поднимает конкретный вопрос конфиденциальности в рамках всё ещё открытого предложения об изоляции.
