Ceph sottostante aggiornato alla versione di sicurezza 19.2.6

Il 19 agosto 2026, il progetto Ceph ha rilasciato Squid 19.2.6, una versione di sicurezza che risolve quattro CVE. Il progetto Ceph raccomanda vivamente a tutti gli operatori di eseguire l’aggiornamento il prima possibile. UniVirStor 4.19.7 include Ceph 19.2.6, pertanto sia i cluster appena distribuiti sia quelli esistenti aggiornati eseguono questa versione.

Le quattro CVE corrette in questa versione

I punteggi CVSS sono tratti dall’avviso di sicurezza ufficiale di Ceph; altri database di vulnerabilità potrebbero valutare questi CVE in modo leggermente diverso.

Rotazione delle chiavi CephX: cosa include la versione 4.19.7

CVE-2025-30156 non può essere risolto con il solo aggiornamento. Ceph introduce un nuovo tipo di chiave, aes256k, per questa correzione (la prima volta che CephX aggiunge un tipo di chiave) e le chiavi esistenti devono essere ruotate al nuovo tipo per completare la correzione. La procedura di aggiornamento alla versione 4.19.7 include la rotazione delle chiavi, con il seguente ambito:

Perché client.admin mantiene temporaneamente il tipo di chiave precedente

I client che montano CephFS o RBD tramite il kernel Linux (client del kernel) necessitano del kernel Linux 7.0 o versioni successive per supportare aes256k; tuttavia, i kernel forniti dalla maggior parte delle distribuzioni utilizzate negli ambienti aziendali non lo supportano ancora. Il kernel predefinito di Ubuntu 22.04 ne è un esempio. Ruotare ora client.admin su aes256k o disabilitare il tipo aes precedente impedirebbe immediatamente a questi client di effettuare il montaggio e interromperebbe il servizio.

4.19.7 migra quindi per fasi: la rotazione delle chiavi sul lato del servizio del cluster è completata ora, mentre la rotazione di client.admin e la disabilitazione del tipo di chiave precedente attendono l'aggiornamento dei kernel client. Fino ad allora, i client esistenti continuano a funzionare come prima, senza necessità di un aggiornamento immediato del kernel.

La risoluzione completa della CVE-2025-30156 richiede in ultima analisi che ogni client supporti aes256k. Consigliamo di iniziare a inventariare gli host che montano CephFS o RBD tramite il kernel e di pianificare gli aggiornamenti del kernel; una volta fatto ciò, il supporto di Ambedded sarà lieto di definire insieme a voi un programma per la migrazione delle chiavi client.

Come funziona l'upgrade

La versione 4.19.7 viene installata con un pacchetto di aggiornamento. Gli host vengono aggiornati e le relative chiavi vengono ruotate uno alla volta; l'integrità del cluster viene verificata dopo ogni host prima di procedere con quello successivo. Durante l'aggiornamento, i servizi Ceph vengono riavviati a turno, pertanto consigliamo di pianificarlo durante una finestra di manutenzione. I clienti esistenti possono contattare il supporto di Ambedded per ricevere il pacchetto di aggiornamento e indicazioni sull'upgrade.

Gestione completa delle capacità degli utenti CephX nell'interfaccia web

In precedenza, le capacità degli utenti CephX in UVS Manager potevano essere impostate solo per gli OSD. Per impostare contemporaneamente le capacità MON, MGR o MDS, oppure utilizzare i profili integrati di Ceph, era necessario ricorrere alla riga di comando. La versione 4.19.7 introduce un editor delle capacità riprogettato.

Impostazioni separate per quattro tipi di servizi

Quando crei o modifichi un utente CephX, puoi impostare separatamente le capacità per mon, mgr, osd e mds, lasciando vuoto qualsiasi tipo non necessario. È inoltre possibile creare un nuovo utente senza alcuna capacità e aggiungerle in un secondo momento.

Profili e parametri avanzati

Oltre alle combinazioni allow r/w/x, sono supportati i profili integrati di Ceph, insieme a parametri quali pool, namespace e path. Ecco alcuni esempi comuni:

Impostazioni esistenti completamente preservate durante la modifica

Quando modifichi un utente esistente, l'editor carica tutte le sue funzionalità attuali, inclusi i profili e i relativi parametri di pool, namespace e percorso, senza troncare o eliminare nulla al di fuori delle impostazioni OSD.

Gestione e monitoraggio più accurati

Pagine CephFS più veloci

La pagina di gestione di CephFS ora utilizza una fonte dati più efficiente. Volumi, gruppi di sottovolumi e sottovolumi condividono un unico insieme di dati invece di eseguire query ripetute, quindi la pagina si carica più velocemente negli ambienti con molti sottovolumi.

Capacità del disco nel pannello della posizione dell'unità

Il pannello dei dischi nelle Impostazioni delle posizioni dei dischi rigidi del server ora mostra la capacità di ciascun disco accanto al relativo numero di serie, facilitando la verifica della disposizione delle unità. Quando non è possibile leggere la capacità, il pannello mostra "-" invece di uno 0 fuorviante.

Impostazioni CRUSH e iSCSI più affidabili

Se si verifica un errore durante la ridenominazione di un tipo di bucket CRUSH, l’interfaccia utente ora segnala correttamente il fallimento invece di indicare il successo; inoltre, i nomi sono limitati a lettere, cifre, caratteri di sottolineatura e trattini. Il prefisso di base IQN iSCSI viene ora convalidato e non accetta più lettere maiuscole, così i problemi vengono rilevati prima della creazione di una destinazione.

Avvisi Samba più accurati

La metrica che monitora la disponibilità del servizio Samba poteva in precedenza rimanere bloccata su un valore anomalo quando un componente del sistema smetteva di rispondere e non si aggiornava dopo il ripristino del servizio. La versione 4.19.7 aggiunge dei timeout a questi controlli, così la metrica torna alla normalità al controllo successivo al ripristino. Anche l’avviso SambaExporterDown è stato corretto: i cluster senza Samba non ricevono più falsi allarmi costanti e l’avviso ora si attiva correttamente quando il container Samba si arresta.

Gestione più efficiente delle notifiche degli avvisi

Quando arriva un avviso, il sistema non esegue più una query aggiuntiva a Prometheus per recuperare i dettagli della regola e, quando le notifiche via e-mail sono disabilitate, il resto dell'elaborazione viene saltato. Questo riduce il carico sul sistema quando si attivano molti avvisi contemporaneamente.

Maggiore affidabilità di SMB e Active Directory

La versione 4.19.7 include una serie di correzioni per la stabilità del servizio SMB negli ambienti Active Directory, mirate a impedire che brevi anomalie si trasformino in interruzioni del servizio.

Le impostazioni globali non vengono più sovrascritte automaticamente

In precedenza, le impostazioni globali di un cluster Samba potevano essere riscritte automaticamente dalla sincronizzazione periodica di ciascun nodo, non solo modificate da un amministratore. Se si è verificato un breve problema di connessione durante la lettura delle impostazioni, il sistema potrebbe considerarle "non ancora configurate" e ripristinarle ai valori predefiniti, facendo sì che un cluster aggiunto a un dominio torni a essere un gruppo di lavoro, interrompendo l'autenticazione AD e causando la perdita dei parametri globali personalizzati. A partire dalla versione 4.19.7, le impostazioni globali vengono scritte solo quando un amministratore le modifica esplicitamente, ad esempio quando entra o esce da AD oppure aggiunge un parametro personalizzato. Se le impostazioni non possono essere lette, quel ciclo di sincronizzazione viene saltato e ritentato nel ciclo successivo.

Aggiunta al dominio più affidabile

Quando AD è abilitato su un cluster Samba appena creato e il controllo della relazione di trust non riesce dopo l'aggiunta al dominio, il sistema ora riprova immediatamente all'interno dello stesso ciclo, fino a tre volte, invece di attendere passivamente il ciclo di sincronizzazione successivo. Se il controller di dominio risulta temporaneamente irraggiungibile, il nodo non esegue ripetutamente la nuova aggiunta, proteggendo così le relazioni di trust degli altri nodi.

Riduci il carico di lavoro in background su Ceph

La sincronizzazione della configurazione al minuto di Samba ora legge la configurazione completa una volta per ciclo invece di interrogare ripetutamente ogni elemento, riducendo notevolmente le continue richieste in background inviate a Ceph. I valori sensibili nella configurazione, come la password dell'amministratore AD, rimangono crittografati.

Correzione per più VIP Samba

Risolto un problema per cui, con due o più VIP Samba configurati, lo stesso VIP veniva scritto più di una volta durante l'inizializzazione.

Stabilità e Indurimento della Sicurezza

Un database di gestione più robusto

Il database di gestione UVS (MariaDB Galera Cluster) ora si avvia correttamente quando non esiste uno stato del cluster, e quando il database è temporaneamente non disponibile, il controllo pianificato dei report non impedisce più l'avvio della coda dei processi in background. Anche la sincronizzazione del database tra i nodi è stata resa più affidabile: se il database di UVS Manager diventa incoerente tra i nodi a causa di un problema hardware, il sistema lo ripara automaticamente.

Correzioni relative alla distribuzione e al funzionamento quotidiano

Ora è possibile creare cluster quando i nomi host includono un dominio (FQDN, ad esempio uvs101.example.com). Altre correzioni riguardano il mancato avvio del servizio SNMP, il mancato caricamento dei pacchetti di aggiornamento nella pagina Aggiornamento, il malfunzionamento della funzione "Come montare" di un sottovolume, che non riusciva a creare l'utente predefinito, e il ripetuto fallimento del processo di monitoraggio giornaliero delle prestazioni (PCP) dopo una modifica del nome host.

Rafforzamento della sicurezza

I caricamenti di file nell'interfaccia web ora filtrano effettivamente le estensioni di file non consentite, invece di limitarsi a segnalarle. PHP è stato aggiornato alla versione 8.4.25 e i pacchetti inutilizzati sono stati aggiornati o rimossi.

Domande Frequenti

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?