Zugrunde liegendes Ceph auf das Sicherheitsrelease 19.2.6 aktualisiert

Am 19. August 2026 veröffentlichte das Ceph-Projekt Squid 19.2.6, ein Sicherheitsrelease, das vier CVEs behebt. Das Ceph-Projekt empfiehlt dringend, dass alle Betreiber so bald wie möglich aktualisieren. UniVirStor 4.19.7 wird mit Ceph 19.2.6 ausgeliefert, sodass sowohl neu bereitgestellte Cluster als auch aktualisierte bestehende Cluster diese Version ausführen.

Die vier in dieser Version behobenen CVEs

Die CVSS-Bewertungen stammen aus der offiziellen Ceph-Sicherheitswarnung; andere Schwachstellendatenbanken bewerten diese CVEs möglicherweise geringfügig anders.

Rotation von CephX-Schlüsseln: Was 4.19.7 abdeckt

CVE-2025-30156 kann nicht allein durch ein Upgrade behoben werden. Ceph führt für diese Behebung einen neuen Schlüsseltyp namens aes256k ein (zum ersten Mal wurde CephX um einen Schlüsseltyp erweitert), und vorhandene Schlüssel müssen auf den neuen Typ umgestellt werden, um die Behebung abzuschließen. Das Upgrade-Verfahren für 4.19.7 umfasst die Schlüsselrotation mit folgendem Umfang:

Warum client.admin vorübergehend den älteren Schlüsseltyp beibehält

Clients, die CephFS oder RBD über den Linux-Kernel einbinden (Kernel-Clients), benötigen Linux-Kernel 7.0 oder höher, um aes256k zu unterstützen. Die von den meisten in Unternehmensumgebungen eingesetzten Distributionen ausgelieferten Kernel unterstützen dies jedoch noch nicht; der Standardkernel von Ubuntu 22.04 ist ein Beispiel dafür. Wenn client.admin jetzt auf aes256k umgestellt oder der ältere aes-Typ deaktiviert wird, könnten diese Clients die Einbindung sofort nicht mehr durchführen, wodurch der Dienst unterbrochen würde.

4.19.7 migriert daher schrittweise: Die Schlüsselrotation auf der Seite des Clusterdienstes ist jetzt abgeschlossen, während die Rotation von client.admin und die Deaktivierung des älteren Schlüsseltyps warten, bis die Client-Kernel aktualisiert wurden. Bis dahin funktionieren bestehende Clients weiterhin wie gewohnt, ohne dass ein sofortiges Kernel-Upgrade erforderlich ist.

Die vollständige Behebung von CVE-2025-30156 erfordert letztendlich, dass jeder Client aes256k unterstützt. Wir empfehlen, zunächst eine Bestandsaufnahme der Hosts durchzuführen, die CephFS oder RBD über den Kernel einbinden, und Kernel-Upgrades zu planen. Sobald dies erledigt ist, unterstützt Ambedded Sie gerne bei der Ausarbeitung eines Zeitplans für die Migration der Clientschlüssel.

So funktioniert das Upgrade

4.19.7 wird mit einem Update-Paket installiert. Die Hosts werden nacheinander aktualisiert und ihre Schlüssel rotiert. Nach jedem Host wird der Zustand des Clusters überprüft, bevor mit dem nächsten fortgefahren wird. Die Ceph-Dienste werden während des Upgrades nacheinander neu gestartet. Daher empfehlen wir, das Upgrade innerhalb eines Wartungsfensters zu planen. Bestehende Kunden können den Support von Ambedded kontaktieren, um das Update-Paket und Anleitungen zum Upgrade zu erhalten.

Vollständige Verwaltung von CephX-Benutzerberechtigungen in der Weboberfläche

Bisher konnten CephX-Benutzerberechtigungen im UVS Manager nur für OSDs festgelegt werden. Das gleichzeitige Festlegen von MON-, MGR- oder MDS-Berechtigungen oder die Verwendung der integrierten Ceph-Profile erforderte die Befehlszeile. Mit Version 4.19.7 wird ein überarbeiteter Berechtigungseditor eingeführt.

Separate Einstellungen für vier Diensttypen

Beim Erstellen oder Bearbeiten eines CephX-Benutzers können Sie Berechtigungen separat für mon, mgr, osd und mds festlegen und nicht benötigte Typen leer lassen. Ein neuer Benutzer kann auch ohne Berechtigungen erstellt werden, die später hinzugefügt werden können.

Profile und erweiterte Parameter

Zusätzlich zu Kombinationen aus allow r/w/x werden die integrierten Ceph-Profile sowie Parameter wie Pool, Namespace und Pfad unterstützt. Häufige Beispiele:

Vorhandene Einstellungen bei der Bearbeitung vollständig beibehalten

Wenn Sie einen vorhandenen Benutzer bearbeiten, lädt der Editor alle aktuellen Berechtigungen, einschließlich Profilen sowie deren Pool-, Namespace- und Pfadparametern, ohne etwas abzuschneiden oder außerhalb der OSD-Einstellungen zu entfernen.

Genauere Verwaltung und Überwachung

Schnellere CephFS-Seiten

Die CephFS-Verwaltungsseite verwendet jetzt eine effizientere Datenquelle. Volumes, Subvolume-Gruppen und Subvolumes nutzen einen gemeinsamen Datensatz, anstatt wiederholt Abfragen auszuführen. Dadurch wird die Seite in Umgebungen mit vielen Subvolumes schneller geladen.

Festplattenkapazität im Bereich für Laufwerkspositionen

Das Festplattenfeld in den Einstellungen für die Positionen der Serverfestplatten zeigt jetzt neben der Seriennummer die Kapazität jeder Festplatte an, sodass sich die Laufwerksanordnung leichter überprüfen lässt. Wenn die Kapazität nicht gelesen werden kann, zeigt das Feld „-“ statt einer irreführenden 0 an.

Zuverlässigere CRUSH- und iSCSI-Einstellungen

Wenn beim Umbenennen eines CRUSH-Bucket-Typs ein Fehler auftritt, meldet die Benutzeroberfläche nun korrekt den Fehler, anstatt Erfolg zu melden. Außerdem sind Namen auf Buchstaben, Ziffern, Unterstriche und Bindestriche beschränkt. Das iSCSI-IQN-Basispräfix wird nun validiert und akzeptiert keine Großbuchstaben mehr, sodass Probleme erkannt werden, bevor ein Ziel erstellt wird.

Genauere Samba-Warnmeldungen

Die Metrik zur Überwachung der Bereitschaft des Samba-Dienstes konnte bisher auf einem ungewöhnlichen Wert hängen bleiben, wenn eine Systemkomponente nicht mehr reagierte, und wurde nach der Wiederherstellung des Dienstes nicht aktualisiert. 4.19.7 fügt für diese Prüfungen Zeitüberschreitungen hinzu, sodass die Metrik bei der nächsten Prüfung nach der Wiederherstellung wieder den Normalwert annimmt. Auch der Alarm SambaExporterDown wurde korrigiert: Cluster ohne Samba erhalten nun keine ständigen Fehlalarme mehr, und der Alarm wird jetzt korrekt ausgelöst, wenn der Samba-Container beendet wird.

Effizientere Verarbeitung von Alarmbenachrichtigungen

Wenn ein Alarm eingeht, führt das System keine zusätzliche Prometheus-Abfrage mehr durch, um Regeldetails abzurufen. Wenn E-Mail-Benachrichtigungen deaktiviert sind, wird die weitere Verarbeitung übersprungen. Dadurch wird die Systemlast reduziert, wenn viele Alarme gleichzeitig ausgelöst werden.

Verbesserte Zuverlässigkeit von SMB und Active Directory

4.19.7 enthält eine Reihe von Fehlerbehebungen für die Stabilität des SMB-Dienstes in Active-Directory-Umgebungen. Dabei liegt der Fokus darauf, kurze Störungen daran zu hindern, sich zu Dienstausfällen zu entwickeln.

Globale Einstellungen werden nicht mehr automatisch überschrieben

Bisher konnten die globalen Einstellungen eines Samba-Clusters nicht nur von einem Administrator geändert, sondern auch durch die regelmäßige Synchronisierung jedes Knotens automatisch zurückgeschrieben werden. Wenn beim Lesen der Einstellungen kurzzeitig ein Verbindungsproblem auftrat, konnte das System sie als „noch nicht konfiguriert“ behandeln und auf die Standardwerte zurücksetzen. Dadurch konnte ein einer Domäne beigetretener Cluster auf eine Arbeitsgruppe zurückfallen, die AD-Authentifizierung ausfallen und benutzerdefinierte globale Parameter verloren gehen. Ab Version 4.19.7 werden globale Einstellungen nur noch geschrieben, wenn ein Administrator sie ausdrücklich ändert, beispielsweise beim Beitreten zu oder Verlassen von AD oder beim Hinzufügen eines benutzerdefinierten Parameters. Wenn die Einstellungen nicht gelesen werden können, wird diese Synchronisierungsrunde übersprungen und in der nächsten Runde erneut versucht.

Zuverlässigerer Domänenbeitritt

Wenn AD auf einem neu erstellten Samba-Cluster aktiviert ist und die Überprüfung der Vertrauensbeziehung nach dem Beitritt zur Domäne fehlschlägt, versucht das System nun sofort innerhalb desselben Durchlaufs bis zu dreimal erneut, anstatt passiv auf den nächsten Synchronisierungsdurchlauf zu warten. Wenn der Domänencontroller vorübergehend nicht erreichbar zu sein scheint, tritt der Knoten nicht wiederholt bei, wodurch die Vertrauensbeziehungen der anderen Knoten geschützt werden.

Geringere Hintergrundlast auf Ceph

Sambas Konfigurationssynchronisierung pro Minute liest jetzt einmal pro Durchlauf die vollständige Konfiguration ein, anstatt jedes Element wiederholt abzufragen, wodurch die ständig im Hintergrund an Ceph gesendeten Abfragen erheblich reduziert werden. Sensible Werte in der Konfiguration, wie etwa das Passwort des AD-Administrators, bleiben verschlüsselt.

Fehlerbehebung für mehrere VIPs

Ein Problem wurde behoben, bei dem bei der Konfiguration von zwei oder mehr Samba-VIPs während der Initialisierung dieselbe VIP mehr als einmal geschrieben wurde.

Stabilität und Sicherheitsverstärkung

Eine robustere Verwaltungsdatenbank

Die UVS-Verwaltungsdatenbank (MariaDB-Galera-Cluster) startet jetzt korrekt, wenn kein bestehender Clusterstatus vorhanden ist. Wenn die Datenbank vorübergehend nicht verfügbar ist, verhindert die geplante Berichtsprüfung nicht mehr den Start der Hintergrundauftragswarteschlange. Die Datenbanksynchronisierung zwischen den Knoten wurde ebenfalls robuster gestaltet: Wenn die UVS-Manager-Datenbank aufgrund eines Hardwareproblems zwischen den Knoten inkonsistent wird, repariert das System sie automatisch.

Bereitstellung und Fehlerbehebungen im täglichen Betrieb

Cluster können jetzt erstellt werden, wenn Hostnamen eine Domäne enthalten (FQDN, zum Beispiel uvs101.example.com). Weitere Fehlerbehebungen betreffen den SNMP-Dienst, der nicht gestartet werden konnte, die Seite „Update“, auf der Update-Pakete nicht hochgeladen werden konnten, die Funktion „Bereitstellung“ eines Subvolumes, die den Standardbenutzer nicht erstellen konnte, sowie den Auftrag zur täglichen Leistungsüberwachung (PCP), der nach einer Änderung des Hostnamens wiederholt fehlschlug.

Sicherheits-Härtung

Datei-Uploads in der Weboberfläche filtern jetzt tatsächlich nicht zulässige Dateierweiterungen heraus, anstatt nur darauf hinzuweisen. PHP wurde auf 8.4.25 aktualisiert, und nicht verwendete Pakete wurden aktualisiert oder entfernt.

Häufig gestellte Fragen

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?