Základní Ceph byl aktualizován na bezpečnostní vydání 19.2.6

Dne 19. srpna 2026 vydal projekt Ceph verzi Squid 19.2.6, bezpečnostní aktualizaci opravující čtyři zranitelnosti CVE. Projekt Ceph důrazně doporučuje všem provozovatelům provést aktualizaci co nejdříve. UniVirStor 4.19.7 obsahuje Ceph 19.2.6, takže tuto verzi používají nově nasazené clustery i aktualizované stávající clustery.

Čtyři chyby CVE opravené v této verzi

Skóre CVSS jsou převzata z oficiálního bezpečnostního upozornění Ceph; jiné databáze zranitelností mohou tato CVE hodnotit mírně odlišně.

Rotace klíčů CephX: Co pokrývá verze 4.19.7

CVE-2025-30156 nelze opravit pouze aktualizací. Ceph pro tuto opravu zavádí nový typ klíče, aes256k (poprvé, kdy CephX přidává typ klíče), a stávající klíče je nutné převést na nový typ, aby byla náprava dokončena. Postup aktualizace na verzi 4.19.7 zahrnuje rotaci klíčů v následujícím rozsahu:

Proč client.admin dočasně zachovává starší typ klíče

Klienti, kteří připojují CephFS nebo RBD prostřednictvím linuxového jádra (klienti jádra), potřebují pro podporu aes256k linuxové jádro verze 7.0 nebo novější; jádra dodávaná většinou distribucí používaných v podnikových prostředích jej zatím nepodporují. Jedním z příkladů je výchozí jádro Ubuntu 22.04. Okamžitá změna klíče client.admin na aes256k nebo deaktivace staršího typu aes by těmto klientům znemožnila připojení a přerušila poskytování služby.

4.19.7 proto migruje postupně: rotace klíčů na straně clusterové služby je nyní dokončena, zatímco rotace klíče client.admin a deaktivace staršího typu klíče počkají, dokud nebudou aktualizována klientská jádra. Do té doby stávající klienti nadále fungují jako dříve, bez nutnosti okamžité aktualizace jádra.

Úplná náprava zranitelnosti CVE-2025-30156 nakonec vyžaduje, aby každý klient podporoval aes256k. Doporučujeme začít evidovat hostitele, kteří připojují CephFS nebo RBD prostřednictvím jádra, a naplánovat aktualizace jádra; jakmile to bude hotové, podpora Ambedded s vámi ráda naplánuje migraci klientských klíčů.

Jak upgrade funguje

Verze 4.19.7 se instaluje pomocí aktualizačního balíčku. Hostitelé se postupně upgradují a jejich klíče se jeden po druhém rotují; po každém hostiteli se před pokračováním na další ověří stav clusteru. Služby Ceph se během upgradu postupně restartují, proto doporučujeme naplánovat upgrade do servisního okna. Stávající zákazníci mohou kontaktovat podporu Ambedded a získat aktualizační balíček a pokyny k upgradu.

Kompletní správa oprávnění uživatelů CephX ve webovém rozhraní

Dříve bylo možné oprávnění uživatelů CephX v UVS Manageru nastavovat pouze pro OSD. Současné nastavení oprávnění MON, MGR nebo MDS či použití vestavěných profilů Ceph vyžadovalo příkazový řádek. Verze 4.19.7 přináší přepracovaný editor oprávnění.

Samostatná nastavení pro čtyři typy služeb

Při vytváření nebo úpravě uživatele CephX můžete nastavit oprávnění samostatně pro mon, mgr, osd a mds a typy, které nepotřebujete, ponechat prázdné. Nového uživatele lze také vytvořit bez jakýchkoli oprávnění a přidat je později.

Profily a pokročilé parametry

Kromě kombinací allow r/w/x jsou podporovány také vestavěné profily Ceph spolu s parametry, jako jsou pool, namespace a path. Běžné příklady:

Při úpravách jsou všechna stávající nastavení plně zachována

Při úpravě existujícího uživatele editor načte všechny jeho aktuální možnosti, včetně profilů a jejich parametrů fondu, jmenného prostoru a cesty, aniž by cokoli zkrátil nebo odstranil mimo nastavení OSD.

Přesnější správa a monitorování

Rychlejší stránky CephFS

Stránka správy CephFS nyní používá efektivnější zdroj dat. Svazky, skupiny podsvazků a podsvazky sdílejí jednu sadu dat namísto opakovaných dotazů, takže se stránka načítá rychleji v prostředích s mnoha podsvazky.

Kapacita disku v panelu pozice jednotky

Panel disků v nastavení pozic pevných disků serveru nyní zobrazuje kapacitu každého disku spolu s jeho sériovým číslem, což usnadňuje ověření rozložení disků. Pokud kapacitu nelze načíst, panel zobrazí „-“ namísto zavádějící hodnoty 0.

Spolehlivější nastavení CRUSH a iSCSI

Pokud při přejmenování typu bucketu CRUSH dojde k chybě, uživatelské rozhraní nyní správně oznámí neúspěch namísto úspěchu a názvy jsou omezeny na písmena, číslice, podtržítka a pomlčky. Základní předpona iSCSI IQN se nyní ověřuje a již nepřijímá velká písmena, takže problémy jsou zachyceny ještě před vytvořením cíle.

Přesnější upozornění Samby

Metrika sledující připravenost služby Samba se dříve mohla při přerušení odpovědi systémové komponenty zaseknout na abnormální hodnotě a po obnovení služby se již neaktualizovala. Verze 4.19.7 přidává k těmto kontrolám časové limity, takže se metrika při další kontrole po obnovení vrátí k normálu. Opravena byla také výstraha SambaExporterDown: clustery bez Samby již nebudou dostávat neustálá falešná upozornění a výstraha se nyní správně aktivuje, když se kontejner Samby zastaví.

Efektivnější zpracování upozornění

Když dorazí upozornění, systém již neprovádí další dotaz Prometheus za účelem vyhledání podrobností pravidla. Pokud je e-mailové upozornění zakázáno, zbývající zpracování se přeskočí. Tím se snižuje zatížení systému, když se aktivuje mnoho upozornění najednou.

Vyšší spolehlivost SMB a Active Directory

Verze 4.19.7 obsahuje řadu oprav stability služby SMB v prostředích Active Directory, které pomáhají zabránit tomu, aby se krátkodobé výpadky změnily v nedostupnost služby.

Globální nastavení se již automaticky nepřepisují

Dříve mohlo pravidelné synchronizování každého uzlu automaticky zapisovat globální nastavení clusteru Samba zpět, takže je nemusel měnit pouze správce. Pokud během načítání nastavení došlo ke krátkodobému problému s připojením, systém je mohl považovat za „dosud nenakonfigurovaná“ a obnovit jejich výchozí hodnoty, což způsobilo, že se cluster připojený k doméně přepnul do pracovní skupiny, přestalo fungovat ověřování AD a došlo ke ztrátě vlastních globálních parametrů. Od verze 4.19.7 se globální nastavení zapisují pouze tehdy, když je administrátor výslovně změní, například při připojení k AD nebo odpojení od něj či při přidání vlastního parametru. Pokud nastavení nelze načíst, dané kolo synchronizace se přeskočí a zopakuje v následujícím kole.

Spolehlivější připojení k doméně

Když je na nově vytvořeném clusteru Samba povolena služba AD a kontrola vztahu důvěry selže po připojení k doméně, systém nyní okamžitě opakuje pokus v rámci stejného kola, a to až třikrát, místo aby pasivně čekal na další synchronizační kolo. Pokud se řadič domény jeví jako dočasně nedostupný, uzel se nepřipojuje opakovaně, čímž chrání vztahy důvěry ostatních uzlů.

Nižší zatížení Ceph na pozadí

Synchronizace konfigurace Samby po minutách nyní načte kompletní konfiguraci jednou za kolo namísto opakovaného dotazování na každou položku, čímž výrazně snižuje počet neustálých dotazů na pozadí odesílaných do Cephu. Citlivé hodnoty v konfiguraci, například heslo správce AD, zůstávají zašifrované.

Oprava pro více VIP

Opravili jsme problém, kdy se při konfiguraci dvou nebo více VIP adres Samba stejná VIP adresa během inicializace zapsala více než jednou.

Stabilita a zpevnění zabezpečení

Robustnější databáze pro správu

Databáze pro správu UVS (MariaDB Galera Cluster) se nyní správně spustí, pokud neexistuje žádný stav clusteru, a pokud je databáze dočasně nedostupná, naplánovaná kontrola reportů již nebrání spuštění fronty úloh na pozadí. Synchronizace databáze mezi uzly byla také zvýšena na odolnosti: pokud se databáze UVS Manageru kvůli hardwarovému problému mezi uzly nekonzistentní, systém ji automaticky opraví.

Opravy nasazení a každodenního provozu

Klastry lze nyní vytvářet, i když názvy hostitelů obsahují doménu (FQDN, například uvs101.example.com). Další opravy řeší selhání spuštění služby SNMP, selhání nahrávání aktualizačních balíčků na stránce Aktualizace, selhání funkce „Jak připojit“ podsvazku při vytváření výchozího uživatele a opakované selhávání úlohy denního monitorování výkonu (PCP) po změně názvu hostitele.

Zvýšení zabezpečení

Nahrávání souborů ve webovém rozhraní nyní skutečně filtruje nepovolené přípony souborů, místo aby na ně pouze upozorňovalo. PHP bylo aktualizováno na verzi 8.4.25 a nepoužívané balíčky byly aktualizovány nebo odstraněny.

Často kladené otázky

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?