基盤となるCephをセキュリティリリース19.2.6にアップグレード

2026年8月19日、Cephプロジェクトは4件のCVEを修正したセキュリティリリース、Squid 19.2.6を公開しました。Cephプロジェクトは、すべての運用者に対し、できるだけ早くアップグレードすることを強く推奨しています。UniVirStor 4.19.7にはCeph 19.2.6が搭載されているため、新規にデプロイされたクラスターとアップグレードされた既存のクラスターの両方で、このバージョンが実行されます。

このリリースで修正された4件のCVE

CVSSスコアはCeph公式のセキュリティアドバイザリに基づいています。他の脆弱性データベースでは、これらのCVEの評価が若干異なる場合があります。

CephXキーのローテーション：4.19.7で対応される内容

CVE-2025-30156は、アップグレードだけでは修正できません。この修正のために、Cephは新しいキータイプ「aes256k」を導入します（CephXでキータイプが追加されるのは今回が初めてです）。修正を完了するには、既存のキーを新しいタイプにローテーションする必要があります。4.19.7へのアップグレード手順には、以下の範囲のキーのローテーションが含まれます。

client.admin が一時的に古いキーの種類を保持する理由

Linuxカーネルを介してCephFSまたはRBDをマウントするクライアント（カーネルクライアント）がaes256kをサポートするには、Linuxカーネル7.0以降が必要です。しかし、エンタープライズ環境で使用されるほとんどのディストリビューションに同梱されているカーネルは、まだこれをサポートしていません。デフォルトのUbuntu 22.04カーネルがその一例です。現時点でclient.adminをaes256kにローテーションするか、古いaesタイプを無効にすると、これらのクライアントは直ちにマウントできなくなり、サービスが中断します。

したがって、4.19.7では段階的に移行します。クラスタサービス側のキーのローテーションは現在完了していますが、client.adminのローテーションと古いキータイプの無効化は、クライアントカーネルがアップグレードされるまで保留されます。それまでは、既存のクライアントは従来どおり動作し、カーネルを直ちにアップグレードする必要はありません。

CVE-2025-30156を完全に修正するには、最終的にすべてのクライアントがaes256kをサポートする必要があります。まず、カーネルを介してCephFSまたはRBDをマウントしているホストの棚卸しを開始し、カーネルのアップグレードを計画することをお勧めします。完了後、Ambeddedサポートがクライアントキーの移行スケジュールを喜んで一緒に策定いたします。

アップグレードの仕組み

4.19.7はアップデートパッケージを使用してインストールされます。ホストは1台ずつアップグレードされ、キーも順番にローテーションされます。次のホストに進む前に、各ホストの処理後にクラスタの健全性を確認します。アップグレード中はCephサービスが順番に再起動されるため、メンテナンス時間帯に実施することをお勧めします。既存のお客様は、アップデートパッケージとアップグレード手順についてAmbeddedサポートにお問い合わせください。

Web UIでのCephXユーザー権限の完全な管理

これまで、UVS ManagerのCephXユーザー権限はOSDに対してのみ設定できました。MON、MGR、MDSの権限を同時に設定したり、Ceph組み込みのプロファイルを使用したりするには、コマンドラインが必要でした。4.19.7では、権限エディターが刷新されました。

4種類のサービスごとに個別設定

CephXユーザーの作成または編集時に、mon、mgr、osd、mdsの権限を個別に設定でき、不要な種類は空のままにできます。権限なしで新しいユーザーを作成し、後から追加することも可能です。

プロファイルと詳細パラメーター

allowのr/w/xの組み合わせに加えて、Ceph組み込みのプロファイルにも対応し、pool、namespace、pathなどのパラメーターも指定できます。一般的な例：

編集時に既存の設定を完全に保持

既存のユーザーを編集すると、エディターはプロファイルとそのプール、ネームスペース、パスのパラメーターを含む、現在のすべてのケイパビリティを読み込みます。OSD設定以外の内容が切り捨てられたり削除されたりすることはありません。

より正確な管理と監視

CephFSページの高速化

CephFS管理ページでは、より効率的なデータソースを使用するようになりました。ボリューム、サブボリュームグループ、サブボリュームは1つのデータセットを共有し、繰り返しクエリを実行しません。そのため、サブボリュームが多数ある環境でもページの読み込みが高速になります。

ドライブ位置パネルでのディスク容量

サーバーのハードドライブ位置設定のディスクパネルに、各ディスクのシリアル番号とともに容量が表示されるようになり、ドライブ構成をより簡単に確認できるようになりました。容量を読み取れない場合は、誤解を招く0ではなく「-」が表示されます。

CRUSHおよびiSCSI設定の信頼性を向上

CRUSHバケットタイプの名前変更中にエラーが発生した場合、UIは成功ではなく失敗を正しく報告するようになりました。また、名前に使用できる文字は英字、数字、アンダースコア、ハイフンに制限されています。iSCSI IQNベースプレフィックスの検証も行われるようになり、大文字は受け付けなくなったため、ターゲットが作成される前に問題を検出できます。

より正確なSambaアラート

Samba サービスの準備状況を追跡するメトリクスは、以前はシステムコンポーネントが応答を停止すると異常な値のまま固まり、サービスが復旧しても更新されないことがありました。4.19.7 では、これらのチェックにタイムアウトが追加され、復旧後の次回チェックでメトリクスが正常に戻るようになりました。SambaExporterDown アラートも修正され、Samba を使用していないクラスターで誤ったアラートが継続的に発生することがなくなり、Samba コンテナが停止した場合には正しくアラートが発生するようになりました。

より効率的なアラート通知処理

アラートが届いた際、システムはルールの詳細を確認するために追加のPrometheusクエリを実行しなくなりました。また、メール通知が無効になっている場合は、以降の処理をスキップします。これにより、多数のアラートが同時に発生した際のシステム負荷が軽減されます。

SMBとActive Directoryの信頼性を向上

4.19.7には、Active Directory環境におけるSMBサービスの安定性に関する一連の修正が含まれており、短時間の不具合がサービス停止につながるのを防ぐことに重点を置いています。

グローバル設定が自動的に上書きされなくなりました

以前は、Sambaクラスターのグローバル設定が、管理者による変更だけでなく、各ノードの定期的な同期によって自動的に書き戻される可能性がありました。 設定の読み取り中に一時的な接続問題が発生した場合、システムが設定を「未構成」として扱い、既定値にリセットすることがあります。その結果、ドメインに参加しているクラスターがワークグループに戻り、AD認証が機能しなくなり、カスタムのグローバルパラメーターが失われる可能性があります。 4.19.7以降、グローバル設定は、管理者がADへの参加や離脱、カスタムパラメーターの追加など、明示的に変更した場合にのみ書き込まれます。 設定を読み込めない場合、その同期ラウンドはスキップされ、次のラウンドで再試行されます。

より信頼性の高いドメイン参加

新しく作成したSambaクラスターでADを有効にし、ドメイン参加後の信頼関係チェックに失敗した場合、システムは次の同期ラウンドを待つのではなく、同じラウンド内ですぐに最大3回まで再試行するようになりました。ドメインコントローラーに一時的に接続できないように見える場合、ノードが繰り返し再参加することはなく、他のノードの信頼関係が保護されます。

Cephのバックグラウンド負荷を軽減

Sambaの分単位の設定同期では、各項目を繰り返し問い合わせる代わりに、ラウンドごとに完全な設定を1回読み取るようになり、Cephに送信される継続的なバックグラウンドクエリが大幅に削減されました。AD管理者パスワードなど、設定内の機密値は引き続き暗号化されています。

複数のVIPに関する修正

2つ以上のSamba VIPが設定されている場合、初期化中に同じVIPが複数回書き込まれる問題を修正しました。

安定性とセキュリティの強化

より堅牢な管理データベース

UVS管理データベース（MariaDB Galera Cluster）は、既存のクラスタ状態がない場合でも正しく起動するようになりました。また、データベースが一時的に利用できない場合でも、スケジュールされたレポートチェックによってバックグラウンドジョブキューの起動が妨げられることはなくなりました。ノード間のデータベース同期もさらに堅牢になり、ハードウェアの問題によってUVS Managerデータベースがノード間で不整合になった場合、システムが自動的に修復します。

デプロイメントおよび日常運用に関する修正

ホスト名にドメイン（FQDN、例：uvs101.example.com）が含まれている場合でも、クラスターを作成できるようになりました。その他の修正には、SNMPサービスの起動に失敗する問題、［更新］ページで更新パッケージをアップロードできない問題、サブボリュームの「マウント方法」機能でデフォルトユーザーの作成に失敗する問題、ホスト名の変更後に毎日のパフォーマンス監視（PCP）ジョブが繰り返し失敗する問題が含まれます。

セキュリティ強化

Web UIでのファイルアップロードにおいて、許可されていないファイル拡張子が示唆されるだけでなく、実際に除外されるようになりました。PHPは8.4.25にアップグレードされ、未使用のパッケージはアップグレードまたは削除されました。

よくある質問

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?