ترقية Ceph الأساسي إلى الإصدار الأمني 19.2.6

في 19 أغسطس 2026، أصدر مشروع Ceph الإصدار Squid 19.2.6، وهو إصدار أمني يعالج أربع ثغرات CVE. يوصي مشروع Ceph بشدة جميع المشغّلين بالترقية في أقرب وقت ممكن. يأتي UniVirStor 4.19.7 مزودًا بـ Ceph 19.2.6، لذا تعمل كلٌّ من العناقيد المنشورة حديثًا والعناقيد الحالية التي تمت ترقيتها بهذا الإصدار.

ثغرات CVE الأربع التي تم إصلاحها في هذا الإصدار

تُؤخذ درجات CVSS من الاستشارة الأمنية الرسمية لـ Ceph؛ وقد تقيّم قواعد بيانات الثغرات الأخرى هذه الثغرات (CVE) بشكل مختلف قليلاً.

تدوير مفاتيح CephX: ما الذي يغطيه الإصدار 4.19.7

لا يمكن إصلاح CVE-2025-30156 بالترقية وحدها. يقدّم Ceph نوع مفتاح جديدًا، aes256k، لهذا الإصلاح (وهي المرة الأولى التي يضيف فيها CephX نوع مفتاح)، ويجب تدوير المفاتيح الحالية إلى النوع الجديد لإكمال المعالجة. يتضمن إجراء الترقية إلى الإصدار 4.19.7 تدوير المفاتيح، ضمن النطاق التالي:

لماذا يحتفظ client.admin مؤقتًا بنوع المفتاح الأقدم

يحتاج العملاء الذين يقومون بتركيب CephFS أو RBD من خلال نواة Linux (عملاء النواة) إلى نواة Linux بالإصدار 7.0 أو أحدث لدعم aes256k، إلا أن النوى التي توفّرها معظم التوزيعات المستخدمة في بيئات المؤسسات لا تدعم ذلك بعد؛ وتُعد نواة Ubuntu 22.04 الافتراضية مثالًا على ذلك. إن تدوير client.admin إلى aes256k الآن، أو تعطيل نوع aes الأقدم، سيمنع هذه العملاء فورًا من التركيب ويؤدي إلى انقطاع الخدمة.

لذلك، تتم عملية الترحيل في الإصدار 4.19.7 على مراحل: اكتمل الآن تدوير المفاتيح على جانب خدمة المجموعة، بينما ينتظر تدوير client.admin وتعطيل نوع المفتاح الأقدم إلى حين ترقية نوى العملاء. وحتى ذلك الحين، يواصل العملاء الحاليون العمل كالمعتاد، من دون الحاجة إلى ترقية فورية للنواة.

تتطلب المعالجة الكاملة للثغرة CVE-2025-30156 في نهاية المطاف أن يدعم كل عميل aes256k. نوصي بالبدء في حصر المضيفات التي تقوم بتركيب CephFS أو RBD عبر النواة والتخطيط لترقيات النواة؛ وبمجرد الانتهاء من ذلك، يسعد دعم Ambedded بوضع جدول زمني لترحيل مفاتيح العملاء بالتعاون معكم.

كيفية عمل الترقية

يتم تثبيت الإصدار 4.19.7 باستخدام حزمة تحديث. تتم ترقية المضيفين وتدوير مفاتيحهم واحدًا تلو الآخر، ويتم التحقق من سلامة المجموعة بعد كل مضيف قبل الانتقال إلى المضيف التالي. تُعاد تشغيل خدمات Ceph بالتتابع أثناء الترقية، لذا نوصي بجدولة ذلك ضمن فترة صيانة. يمكن للعملاء الحاليين التواصل مع دعم Ambedded لتلقي حزمة التحديث وإرشادات الترقية.

إدارة كاملة لقدرات مستخدمي CephX في واجهة الويب

في السابق، كان من الممكن ضبط قدرات مستخدمي CephX في UVS Manager لأجهزة OSD فقط. أما ضبط قدرات MON أو MGR أو MDS في الوقت نفسه، أو استخدام الملفات التعريفية المضمنة في Ceph، فكان يتطلب استخدام سطر الأوامر. يقدّم الإصدار 4.19.7 محررًا مُعاد تصميمه للقدرات.

إعدادات منفصلة لأربعة أنواع من الخدمات

عند إنشاء مستخدم CephX أو تعديله، يمكنك ضبط القدرات بشكل منفصل لكل من mon وmgr وosd وmds، وترك أي نوع لا تحتاج إليه فارغًا. كما يمكن إنشاء مستخدم جديد دون أي قدرات وإضافتها لاحقًا.

الملفات التعريفية والمعلمات المتقدمة

بالإضافة إلى دعم مجموعات allow r/w/x، يتم دعم الملفات التعريفية المضمنة في Ceph، إلى جانب معلمات مثل pool وnamespace وpath. أمثلة شائعة:

الحفاظ الكامل على الإعدادات الحالية عند التحرير

عند تحرير مستخدم موجود، يحمّل المحرر جميع إمكاناته الحالية، بما في ذلك الملفات التعريفية ومعلمات التجمع ومساحة الأسماء والمسار الخاصة بها، من دون اقتطاع أو إسقاط أي شيء خارج إعدادات OSD.

إدارة ومراقبة أكثر دقة

صفحات CephFS أسرع

تستخدم صفحة إدارة CephFS الآن مصدر بيانات أكثر كفاءة. إذ تشترك وحدات التخزين ومجموعات الوحدات الفرعية والوحدات الفرعية في مجموعة واحدة من البيانات بدلاً من إجراء الاستعلامات بشكل متكرر، مما يسرّع تحميل الصفحة في البيئات التي تحتوي على العديد من الوحدات الفرعية.

سعة القرص في لوحة موضع محرك الأقراص

تعرض لوحة الأقراص في إعدادات مواضع محركات الأقراص الثابتة للخادم الآن سعة كل قرص بجانب رقمه التسلسلي، مما يسهّل التحقق من تخطيط محركات الأقراص. وعندما يتعذر قراءة السعة، تعرض اللوحة "-" بدلاً من الرقم 0 المضلل.

إعدادات CRUSH وiSCSI أكثر موثوقية

إذا حدث خطأ أثناء إعادة تسمية نوع حاوية CRUSH، تعرض واجهة المستخدم الآن الفشل بشكل صحيح بدلاً من الإبلاغ عن النجاح، كما تقتصر الأسماء على الأحرف والأرقام والشرطات السفلية والواصلات. يتم الآن التحقق من بادئة الأساس لـ iSCSI IQN، ولم تعد الأحرف الكبيرة مقبولة، مما يتيح اكتشاف المشكلات قبل إنشاء هدف.

تنبيهات سامبا أكثر دقة

كان المقياس الذي يتتبع جاهزية خدمة Samba يتعطل سابقًا عند قيمة غير طبيعية عندما يتوقف أحد مكونات النظام عن الاستجابة، ولم يكن يتحدث بعد تعافي الخدمة. يضيف الإصدار 4.19.7 مهلات زمنية إلى عمليات التحقق هذه، لذا يعود المقياس إلى حالته الطبيعية عند أول عملية تحقق بعد التعافي. كما تم إصلاح تنبيه SambaExporterDown: لم تعد العناقيد التي لا تحتوي على Samba تتلقى إنذارات كاذبة مستمرة، ويعمل التنبيه الآن بشكل صحيح عند توقف حاوية Samba.

معالجة أكثر كفاءة لإشعارات التنبيهات

عند وصول تنبيه، لم يعد النظام يُجري استعلامًا إضافيًا إلى Prometheus للبحث عن تفاصيل القاعدة، وعند تعطيل الإشعارات عبر البريد الإلكتروني، يتم تخطي بقية المعالجة. ويؤدي ذلك إلى تقليل الحمل على النظام عند إطلاق العديد من التنبيهات في الوقت نفسه.

تحسين موثوقية SMB وActive Directory

يتضمن الإصدار 4.19.7 سلسلة من الإصلاحات لتحسين استقرار خدمة SMB في بيئات Active Directory، مع التركيز على منع الأعطال القصيرة من التحول إلى انقطاعات في الخدمة.

لم تعد الإعدادات العامة تُستبدل تلقائيًا

في السابق، كان من الممكن إعادة كتابة الإعدادات العامة لمجموعة Samba تلقائيًا من خلال المزامنة الدورية لكل عقدة، وليس فقط تغييرها بواسطة مسؤول. إذا حدثت مشكلة اتصال وجيزة أثناء قراءة الإعدادات، فقد يتعامل النظام معها على أنها «لم تتم تهيئتها بعد» ويعيد ضبطها إلى الإعدادات الافتراضية، مما يتسبب في عودة مجموعة مرتبطة بنطاق إلى مجموعة عمل، وتعطّل مصادقة AD، وفقدان المعلمات العامة المخصصة. اعتبارًا من الإصدار 4.19.7، لا تُكتب الإعدادات العامة إلا عندما يغيّرها أحد المسؤولين صراحةً، مثل الانضمام إلى AD أو مغادرته أو إضافة معلمة مخصّصة. إذا تعذّر قراءة الإعدادات، يتم تخطي جولة المزامنة تلك وإعادة المحاولة في الجولة التالية.

انضمام أكثر موثوقية إلى المجال

عند تمكين AD على مجموعة Samba مُنشأة حديثًا وفشل التحقق من علاقة الثقة بعد الانضمام إلى المجال، يعيد النظام المحاولة الآن فورًا ضمن الجولة نفسها، بما يصل إلى ثلاث محاولات، بدلًا من الانتظار بشكل سلبي حتى جولة المزامنة التالية. وإذا بدا أن وحدة تحكم المجال يتعذر الوصول إليها مؤقتًا، فلا تعيد العقدة الانضمام بشكل متكرر، مما يحمي علاقات الثقة للعقد الأخرى.

تقليل الحمل في الخلفية على Ceph

تقرأ مزامنة إعدادات Samba لكل دقيقة الآن الإعدادات الكاملة مرة واحدة في كل دورة بدلاً من الاستعلام عن كل عنصر بشكل متكرر، مما يقلل بشكل كبير من الاستعلامات المستمرة في الخلفية المرسلة إلى Ceph. وتظل القيم الحساسة في الإعدادات، مثل كلمة مرور مسؤول AD، مشفّرة.

إصلاح مشكلة تعدد عناوين VIP

تم إصلاح مشكلة كانت تؤدي، عند تكوين عنواني VIP أو أكثر لخدمة Samba، إلى كتابة عنوان VIP نفسه أكثر من مرة أثناء التهيئة.

تعزيز الاستقرار والأمان

قاعدة بيانات إدارة أكثر موثوقية

تبدأ قاعدة بيانات إدارة UVS (مجموعة MariaDB Galera) الآن بشكل صحيح عند عدم وجود حالة مجموعة سابقة، وعندما تكون قاعدة البيانات غير متاحة مؤقتًا، لم يعد فحص التقارير المجدول يمنع قائمة انتظار المهام في الخلفية من البدء. كما تمت زيادة متانة مزامنة قاعدة البيانات بين العقد: فإذا أصبحت قاعدة بيانات UVS Manager غير متسقة بين العقد بسبب مشكلة في الأجهزة، يقوم النظام بإصلاحها تلقائيًا.

إصلاحات النشر والتشغيل اليومي

يمكن الآن إنشاء العناقيد عندما تتضمن أسماء المضيفين نطاقًا (اسم نطاق مؤهل بالكامل، مثل uvs101.example.com). وتشمل الإصلاحات الأخرى تعذّر بدء خدمة SNMP، وتعذّر على صفحة التحديث تحميل حزم التحديث، وتعذّر على وظيفة "كيفية التحميل" لوحدة التخزين الفرعية إنشاء المستخدم الافتراضي، وتعذّر مهمة مراقبة الأداء اليومية (PCP) بشكل متكرر بعد تغيير اسم المضيف.

تعزيز الأمان

تعمل عمليات تحميل الملفات في واجهة الويب الآن على تصفية امتدادات الملفات غير المسموح بها فعليًا، بدلًا من الاكتفاء بالإشارة إليها. تمت ترقية PHP إلى الإصدار 8.4.25، كما تمت ترقية الحزم غير المستخدمة أو إزالتها.

الأسئلة المتكررة

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?