Ceph subyacente actualizado a la versión de seguridad 19.2.6

El 19 de agosto de 2026, el proyecto Ceph publicó Squid 19.2.6, una versión de seguridad que corrige cuatro CVE. El proyecto Ceph recomienda encarecidamente que todos los operadores actualicen lo antes posible. UniVirStor 4.19.7 incluye Ceph 19.2.6, por lo que tanto los clústeres recién implementados como los clústeres existentes actualizados ejecutan esta versión.

Las cuatro CVE corregidas en esta versión

Las puntuaciones CVSS se toman del aviso de seguridad oficial de Ceph; otras bases de datos de vulnerabilidades pueden calificar estas CVE de forma ligeramente diferente.

Rotación de claves de CephX: qué incluye la versión 4.19.7

CVE-2025-30156 no puede solucionarse únicamente mediante una actualización. Ceph introduce un nuevo tipo de clave, aes256k, para esta corrección (la primera vez que CephX añade un tipo de clave), y las claves existentes deben rotarse al nuevo tipo para completar la solución. El procedimiento de actualización a la versión 4.19.7 incluye la rotación de claves, con el siguiente alcance:

Por qué client.admin mantiene temporalmente el tipo de clave anterior

Los clientes que montan CephFS o RBD mediante el kernel de Linux (clientes del kernel) necesitan Linux kernel 7.0 o posterior para admitir aes256k, y los kernels incluidos en la mayoría de las distribuciones utilizadas en entornos empresariales todavía no lo admiten; el kernel predeterminado de Ubuntu 22.04 es un ejemplo. Cambiar ahora client.admin a aes256k o deshabilitar el tipo de aes anterior impediría inmediatamente que estos clientes realizaran el montaje e interrumpiría el servicio.

Por lo tanto, la versión 4.19.7 realiza la migración por etapas: la rotación de claves en el lado del servicio del clúster se completa ahora, mientras que la rotación de client.admin y la desactivación del tipo de clave anterior esperan hasta que se hayan actualizado los kernels de los clientes. Hasta entonces, los clientes existentes siguen funcionando como antes, sin necesidad de actualizar inmediatamente el kernel.

La corrección completa de CVE-2025-30156 requiere, en última instancia, que todos los clientes admitan aes256k. Recomendamos comenzar a hacer un inventario de los hosts que montan CephFS o RBD mediante el kernel y planificar las actualizaciones del kernel; una vez hecho esto, el equipo de soporte de Ambedded estará encantado de elaborar con usted un calendario de migración de claves de cliente.

Cómo funciona la actualización

4.19.7 se instala con un paquete de actualización. Los hosts se actualizan y sus claves se rotan uno a uno, y se confirma el estado del clúster después de cada host antes de pasar al siguiente. Los servicios de Ceph se reinician por turnos durante la actualización, por lo que recomendamos programarla dentro de una ventana de mantenimiento. Los clientes actuales pueden ponerse en contacto con el soporte de Ambedded para recibir el paquete de actualización y orientación sobre la actualización.

Gestión completa de las capacidades de usuarios de CephX en la interfaz web

Anteriormente, las capacidades de los usuarios de CephX en UVS Manager solo podían configurarse para los OSD. Configurar simultáneamente las capacidades de MON, MGR o MDS, o utilizar los perfiles integrados de Ceph, requería usar la línea de comandos. La versión 4.19.7 presenta un editor de capacidades rediseñado.

Configuración independiente para cuatro tipos de servicios

Al crear o editar un usuario de CephX, puedes configurar las capacidades por separado para mon, mgr, osd y mds, y dejar vacío cualquier tipo que no necesites. También puedes crear un usuario nuevo sin capacidades y añadirlas posteriormente.

Perfiles y parámetros avanzados

Además de permitir combinaciones de r/w/x, se admiten los perfiles integrados de Ceph, junto con parámetros como pool, namespace y path. Ejemplos habituales:

Configuración existente completamente conservada al editar

Al editar un usuario existente, el editor carga todas sus capacidades actuales, incluidos los perfiles y sus parámetros de grupo de almacenamiento, espacio de nombres y ruta, sin truncar ni eliminar nada fuera de la configuración de OSD.

Gestión y supervisión más precisas

Páginas de CephFS más rápidas

La página de gestión de CephFS ahora utiliza una fuente de datos más eficiente. Los volúmenes, los grupos de subvolúmenes y los subvolúmenes comparten un único conjunto de datos en lugar de realizar consultas repetidas, por lo que la página se carga más rápido en entornos con muchos subvolúmenes.

Capacidad del disco en el panel de posición de unidades

El panel de discos en la configuración de las posiciones de los discos duros del servidor ahora muestra la capacidad de cada disco junto a su número de serie, lo que facilita la verificación de la distribución de las unidades. Cuando no se puede leer la capacidad, el panel muestra «-» en lugar de un 0 engañoso.

Configuración de CRUSH e iSCSI más fiable

Si se produce un error al cambiar el nombre de un tipo de depósito CRUSH, la interfaz de usuario ahora informa correctamente del fallo en lugar de indicar que la operación se realizó correctamente, y los nombres están restringidos a letras, dígitos, guiones bajos y guiones. El prefijo base IQN de iSCSI ahora se valida y ya no acepta letras mayúsculas, por lo que los problemas se detectan antes de crear un destino.

Alertas de Samba más precisas

La métrica que supervisa la disponibilidad del servicio Samba podía quedarse anteriormente atascada en un valor anómalo cuando un componente del sistema dejaba de responder y no se actualizaba después de que el servicio se recuperara. La versión 4.19.7 añade tiempos de espera a estas comprobaciones, por lo que la métrica vuelve a la normalidad en la siguiente comprobación tras la recuperación. La alerta SambaExporterDown también se ha corregido: los clústeres sin Samba ya no reciben falsas alarmas constantes y la alerta ahora se activa correctamente cuando el contenedor de Samba se detiene.

Gestión más eficiente de las notificaciones de alertas

Cuando llega una alerta, el sistema ya no realiza una consulta adicional a Prometheus para buscar los detalles de la regla y, cuando las notificaciones por correo electrónico están deshabilitadas, se omite el resto del procesamiento. Esto reduce la carga del sistema cuando se activan muchas alertas a la vez.

Mayor fiabilidad de SMB y Active Directory

La versión 4.19.7 incluye una serie de correcciones para mejorar la estabilidad del servicio SMB en entornos de Active Directory, centradas en evitar que las interrupciones breves se conviertan en caídas del servicio.

La configuración global ya no se sobrescribe automáticamente

Anteriormente, la configuración global de un clúster de Samba podía volver a escribirse automáticamente mediante la sincronización periódica de cada nodo, no solo modificarse por un administrador. Si se produjo un breve problema de conexión mientras se leían los ajustes, el sistema podría tratarlos como «aún no configurados» y restablecerlos a los valores predeterminados, lo que haría que un clúster unido a un dominio volviera a un grupo de trabajo, interrumpiera la autenticación de AD y perdiera los parámetros globales personalizados. A partir de la versión 4.19.7, la configuración global solo se escribe cuando un administrador la cambia explícitamente, como al unirse a AD o salir de este, o al añadir un parámetro personalizado. Si no se pueden leer los ajustes, esa ronda de sincronización se omite y se vuelve a intentar en la siguiente ronda.

Unión al dominio más fiable

Cuando AD está habilitado en un clúster de Samba recién creado y la comprobación de la relación de confianza falla después de unirse al dominio, el sistema ahora vuelve a intentarlo inmediatamente dentro de la misma ronda, hasta tres veces, en lugar de esperar pasivamente a la siguiente ronda de sincronización. Si el controlador de dominio parece estar temporalmente inaccesible, el nodo no vuelve a unirse repetidamente, lo que protege las relaciones de confianza de los demás nodos.

Menor carga de fondo en Ceph

La sincronización de la configuración de Samba por minuto ahora lee la configuración completa una vez por ronda en lugar de consultar cada elemento repetidamente, lo que reduce considerablemente las consultas constantes en segundo plano enviadas a Ceph. Los valores confidenciales de la configuración, como la contraseña del administrador de AD, permanecen cifrados.

Corrección para múltiples VIP de Samba

Se corrigió un problema por el que, al configurar dos o más VIP de Samba, la misma VIP se escribía más de una vez durante la inicialización.

Estabilidad y endurecimiento de la seguridad

Una base de datos de gestión más robusta

La base de datos de gestión de UVS (clúster MariaDB Galera) ahora se inicia correctamente cuando no existe un estado de clúster previo y, cuando la base de datos no está disponible temporalmente, la comprobación programada de informes ya no impide que se inicie la cola de trabajos en segundo plano. La sincronización de la base de datos entre los nodos también se ha hecho más robusta: si la base de datos de UVS Manager se vuelve incoherente entre los nodos debido a un problema de hardware, el sistema la repara automáticamente.

Correcciones de implementación y operación diaria

Ahora se pueden crear clústeres cuando los nombres de host incluyen un dominio (FQDN, por ejemplo, uvs101.example.com). Otras correcciones solucionan el fallo al iniciar el servicio SNMP, el fallo de la página de actualización al cargar paquetes de actualización, el fallo de la función «Cómo montar» de un subvolumen al crear el usuario predeterminado y el fallo repetido del trabajo diario de supervisión del rendimiento (PCP) después de cambiar el nombre de host.

Refuerzo de la seguridad

Las cargas de archivos en la interfaz web ahora filtran realmente las extensiones de archivo no permitidas, en lugar de limitarse a indicarlo. PHP se ha actualizado a la versión 8.4.25 y los paquetes no utilizados se han actualizado o eliminado.

Preguntas Frecuentes

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?