기반 Ceph가 보안 릴리스 19.2.6으로 업그레이드됨

2026년 8월 19일, Ceph 프로젝트는 4개의 CVE를 해결한 보안 릴리스인 Squid 19.2.6을 출시했습니다. Ceph 프로젝트는 모든 운영자가 가능한 한 빨리 업그레이드할 것을 강력히 권장합니다. UniVirStor 4.19.7에는 Ceph 19.2.6이 포함되어 있으므로 새로 배포된 클러스터와 업그레이드된 기존 클러스터 모두 이 버전을 실행합니다.

이번 릴리스에서 수정된 네 가지 CVE

CVSS 점수는 공식 Ceph 보안 권고에서 가져온 것이며, 다른 취약점 데이터베이스에서는 이러한 CVE의 등급을 약간 다르게 평가할 수 있습니다.

CephX 키 순환: 4.19.7에서 다루는 내용

CVE-2025-30156은 업그레이드만으로 해결할 수 없습니다. Ceph는 이 문제를 해결하기 위해 새로운 키 유형인 aes256k를 도입합니다(CephX에서 키 유형을 추가한 것은 이번이 처음입니다). 완전한 해결을 위해 기존 키를 새 유형으로 교체해야 합니다. 4.19.7 업그레이드 절차에는 다음 범위의 키 교체가 포함됩니다:

client.admin이 이전 키 유형을 일시적으로 유지하는 이유

Linux 커널을 통해 CephFS 또는 RBD를 마운트하는 클라이언트(커널 클라이언트)는 aes256k를 지원하려면 Linux 커널 7.0 이상이 필요합니다. 하지만 엔터프라이즈 환경에서 사용되는 대부분의 배포판에 포함된 커널은 아직 이를 지원하지 않으며, Ubuntu 22.04의 기본 커널이 그 예입니다. 지금 client.admin을 aes256k로 변경하거나 이전 aes 유형을 비활성화하면 이러한 클라이언트가 즉시 마운트되지 않아 서비스가 중단됩니다.

따라서 4.19.7은 단계적으로 마이그레이션됩니다. 클러스터 서비스 측의 키 교체는 지금 완료되지만, client.admin 키 교체와 이전 키 유형 비활성화는 클라이언트 커널이 업그레이드될 때까지 보류됩니다. 그때까지 기존 클라이언트는 이전과 동일하게 계속 작동하므로 즉시 커널을 업그레이드할 필요가 없습니다.

CVE-2025-30156을 완전히 해결하려면 궁극적으로 모든 클라이언트가 aes256k를 지원해야 합니다. 커널을 통해 CephFS 또는 RBD를 마운트하는 호스트를 먼저 파악하고 커널 업그레이드를 계획하시기를 권장합니다. 이 작업이 완료되면 Ambedded 지원팀이 고객과 함께 클라이언트 키 마이그레이션 일정을 기꺼이 수립해 드리겠습니다.

업그레이드 작동 방식

4.19.7은 업데이트 패키지로 설치됩니다. 호스트는 한 번에 하나씩 업그레이드되고 키가 교체되며, 다음 호스트로 넘어가기 전에 각 호스트 이후 클러스터 상태를 확인합니다. 업그레이드 중에는 Ceph 서비스가 순차적으로 재시작되므로 유지 관리 시간대에 일정을 잡는 것을 권장합니다. 기존 고객은 Ambedded 지원팀에 문의하여 업데이트 패키지와 업그레이드 안내를 받을 수 있습니다.

웹 UI에서 완전한 CephX 사용자 기능 관리

이전에는 UVS Manager에서 CephX 사용자 기능을 OSD에 대해서만 설정할 수 있었습니다. MON, MGR 또는 MDS 기능을 동시에 설정하거나 Ceph의 기본 제공 프로필을 사용하려면 명령줄이 필요했습니다. 4.19.7에서는 기능 편집기가 새롭게 redesigned되었습니다.

네 가지 서비스 유형별 개별 설정

CephX 사용자를 생성하거나 편집할 때 mon, mgr, osd, mds에 대한 기능을 각각 설정하고, 필요하지 않은 유형은 비워 둘 수 있습니다. 새 사용자를 기능 없이 생성한 후 나중에 기능을 추가하는 것도 가능합니다.

프로필 및 고급 매개변수

allow r/w/x 조합뿐만 아니라 Ceph의 기본 제공 프로필도 지원하며, pool, namespace, path와 같은 매개변수도 설정할 수 있습니다. 일반적인 예시는 다음과 같습니다.

편집 시 기존 설정 완전히 보존

기존 사용자를 편집하면 편집기에 현재 설정된 모든 기능이 로드됩니다. 여기에는 프로필과 해당 프로필의 풀, 네임스페이스 및 경로 매개변수가 포함되며, OSD 설정 외부의 어떤 항목도 잘리거나 삭제되지 않습니다.

더 정확한 관리 및 모니터링

더 빨라진 CephFS 페이지

이제 CephFS 관리 페이지는 더욱 효율적인 데이터 소스를 사용합니다. 볼륨, 하위 볼륨 그룹 및 하위 볼륨이 반복적으로 쿼리되는 대신 하나의 데이터 세트를 공유하므로 하위 볼륨이 많은 환경에서 페이지가 더 빠르게 로드됩니다.

드라이브 위치 패널의 디스크 용량

서버 하드 드라이브 위치 설정의 디스크 패널에 이제 각 디스크의 일련 번호와 함께 용량이 표시되어 드라이브 구성을 더 쉽게 확인할 수 있습니다. 용량을 읽을 수 없는 경우 패널에 잘못된 0 대신 "-"가 표시됩니다.

더 안정적인 CRUSH 및 iSCSI 설정

CRUSH 버킷 유형의 이름을 변경하는 동안 오류가 발생하면 이제 UI에 성공으로 표시되지 않고 실패가 올바르게 보고되며, 이름에는 문자, 숫자, 밑줄 및 하이픈만 사용할 수 있습니다. 이제 iSCSI IQN 기본 접두사가 검증되며 대문자는 더 이상 허용되지 않으므로 대상이 생성되기 전에 문제를 확인할 수 있습니다.

더 정확한 Samba 알림

Samba 서비스 준비 상태를 추적하는 메트릭은 이전에 시스템 구성 요소가 응답을 중지하면 비정상적인 값으로 고정될 수 있었으며, 서비스가 복구된 후에도 업데이트되지 않았습니다. 4.19.7에서는 이러한 확인 작업에 시간 제한이 추가되어 메트릭이 복구 후 다음 확인 시 정상 상태로 돌아옵니다. SambaExporterDown 알림도 수정되었습니다. 이제 Samba가 없는 클러스터에서는 지속적인 오탐 알림이 발생하지 않으며, Samba 컨테이너가 중지되면 알림이 올바르게 발생합니다.

더 효율적인 알림 처리

알림이 도착하면 시스템이 더 이상 규칙 세부 정보를 조회하기 위해 Prometheus에 추가 쿼리를 보내지 않으며, 이메일 알림이 비활성화된 경우 나머지 처리도 건너뜁니다. 이를 통해 여러 알림이 동시에 발생할 때 시스템 부하가 줄어듭니다.

SMB 및 Active Directory 안정성 향상

4.19.7에는 Active Directory 환경에서 SMB 서비스 안정성을 개선하기 위한 일련의 수정 사항이 포함되어 있으며, 짧은 장애가 서비스 중단으로 이어지지 않도록 하는 데 중점을 둡니다.

이제 전역 설정이 자동으로 덮어쓰이지 않음

이전에는 관리자가 변경하는 것뿐만 아니라 각 노드의 주기적인 동기화를 통해 Samba 클러스터의 전역 설정이 자동으로 다시 기록될 수 있었습니다. 설정을 읽는 동안 일시적인 연결 문제가 발생하면 시스템이 설정을 "아직 구성되지 않음"으로 처리하고 기본값으로 재설정할 수 있습니다. 이로 인해 도메인에 가입된 클러스터가 작업 그룹으로 전환되고 AD 인증이 중단되며 사용자 지정 전역 매개 변수가 손실될 수 있습니다. 4.19.7부터는 관리자가 AD 가입 또는 탈퇴나 사용자 지정 매개변수 추가와 같이 전역 설정을 명시적으로 변경한 경우에만 전역 설정이 기록됩니다. 설정을 읽을 수 없는 경우 해당 동기화 라운드는 건너뛰고 다음 라운드에서 다시 시도합니다.

더 안정적인 도메인 가입

새로 생성된 Samba 클러스터에서 AD가 활성화되고 도메인 가입 후 트러스트 관계 확인에 실패하면, 이제 시스템은 다음 동기화 라운드를 수동적으로 기다리는 대신 동일한 라운드 내에서 즉시 최대 3회까지 재시도합니다. 도메인 컨트롤러에 일시적으로 연결할 수 없는 것으로 나타나는 경우 노드는 반복적으로 재가입하지 않으므로 다른 노드의 트러스트 관계를 보호할 수 있습니다.

Ceph의 백그라운드 부하 감소

Samba의 분당 구성 동기화는 이제 각 항목을 반복적으로 조회하는 대신 라운드마다 전체 구성을 한 번 읽어 Ceph로 전송되는 지속적인 백그라운드 쿼리를 크게 줄입니다. AD 관리자 비밀번호와 같은 구성의 민감한 값은 계속 암호화된 상태로 유지됩니다.

여러 VIP 문제 수정

두 개 이상의 Samba VIP가 구성된 경우 초기화 중 동일한 VIP가 두 번 이상 기록되던 문제를 수정했습니다.

안정성 및 보안 강화

더욱 견고해진 관리 데이터베이스

UVS 관리 데이터베이스(MariaDB Galera Cluster)가 기존 클러스터 상태가 없는 경우에도 이제 정상적으로 시작되며, 데이터베이스를 일시적으로 사용할 수 없을 때 예약된 보고서 확인으로 인해 백그라운드 작업 대기열이 더 이상 시작되지 않는 문제가 해결되었습니다. 또한 노드 간 데이터베이스 동기화가 더욱 견고해졌습니다. 하드웨어 문제로 인해 UVS Manager 데이터베이스가 노드 간에 일치하지 않게 되면 시스템이 이를 자동으로 복구합니다.

배포 및 일상 운영 문제 해결

이제 호스트 이름에 도메인(예: uvs101.example.com과 같은 FQDN)이 포함된 경우에도 클러스터를 생성할 수 있습니다. 그 밖에도 SNMP 서비스가 시작되지 않는 문제, 업데이트 페이지에서 업데이트 패키지를 업로드하지 못하는 문제, 하위 볼륨의 "마운트 방법" 기능이 기본 사용자를 생성하지 못하는 문제, 호스트 이름을 변경한 후 일일 성능 모니터링(PCP) 작업이 반복적으로 실패하는 문제를 해결했습니다.

보안 강화

이제 웹 UI의 파일 업로드에서 허용되지 않는 파일 확장자를 단순히 안내하는 데 그치지 않고 실제로 필터링합니다. PHP가 8.4.25로 업그레이드되었으며, 사용하지 않는 패키지는 업그레이드하거나 제거했습니다.

자주 묻는 질문

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?