Базовая версия Ceph обновлена до защищённого выпуска 19.2.6

19 августа 2026 года проект Ceph выпустил Squid 19.2.6 — обновление безопасности, устраняющее четыре уязвимости CVE. Проект Ceph настоятельно рекомендует всем операторам обновиться как можно скорее. UniVirStor 4.19.7 поставляется с Ceph 19.2.6, поэтому как новые развёрнутые кластеры, так и обновлённые существующие кластеры работают на этой версии.

Четыре CVE, исправленные в этом выпуске

Оценки CVSS взяты из официального уведомления Ceph о безопасности; в других базах данных уязвимостей этим CVE могут присваиваться несколько иные оценки.

Ротация ключей CephX: что включает версия 4.19.7

CVE-2025-30156 невозможно устранить только обновлением. В рамках этого исправления Ceph вводит новый тип ключа — aes256k (впервые в CephX добавляется новый тип ключа), и для завершения устранения уязвимости существующие ключи необходимо заменить на ключи нового типа. Процедура обновления до версии 4.19.7 включает замену ключей и распространяется на следующие компоненты:

Почему client.admin временно сохраняет более старый тип ключа

Клиентам, которые подключают CephFS или RBD через ядро Linux (клиентам ядра), для поддержки aes256k требуется ядро Linux версии 7.0 или новее, однако ядра, поставляемые большинством дистрибутивов, используемых в корпоративных средах, пока не поддерживают эту функцию; ядро по умолчанию в Ubuntu 22.04 — один из примеров. Немедленная смена ключа client.admin на aes256k или отключение более старого типа aes сразу же не позволит этим клиентам подключаться и приведёт к прерыванию работы сервиса.

Таким образом, версия 4.19.7 выполняет миграцию поэтапно: ротация ключей на стороне кластерного сервиса уже завершена, а ротация client.admin и отключение старого типа ключей откладываются до обновления ядер клиентов. До этого момента существующие клиенты продолжают работать как прежде, и немедленное обновление ядра не требуется.

Для полного устранения уязвимости CVE-2025-30156 в конечном итоге требуется, чтобы каждый клиент поддерживал aes256k. Мы рекомендуем начать инвентаризацию хостов, которые подключают CephFS или RBD через ядро, и планирование обновлений ядра; после этого служба поддержки Ambedded будет рада согласовать с вами график миграции ключей клиентов.

Как работает обновление

Версия 4.19.7 устанавливается с помощью пакета обновления. Хосты обновляются, а их ключи ротируются по одному; после каждого хоста проверяется состояние кластера, прежде чем перейти к следующему. Во время обновления службы Ceph перезапускаются по очереди, поэтому мы рекомендуем запланировать его на окно технического обслуживания. Существующие клиенты могут обратиться в службу поддержки Ambedded, чтобы получить пакет обновления и рекомендации по обновлению.

Полное управление возможностями пользователей CephX в веб-интерфейсе

Ранее возможности пользователей CephX в UVS Manager можно было настраивать только для OSD. Одновременная настройка возможностей MON, MGR или MDS, а также использование встроенных профилей Ceph требовали работы в командной строке. В версии 4.19.7 появился переработанный редактор возможностей.

Раздельные настройки для четырёх типов служб

При создании или редактировании пользователя CephX можно отдельно настроить возможности для mon, mgr, osd и mds, оставив пустыми ненужные типы. Также можно создать нового пользователя без каких-либо возможностей и добавить их позже.

Профили и расширенные параметры

Помимо комбинаций разрешений r/w/x, поддерживаются встроенные профили Ceph, а также такие параметры, как пул, пространство имён и путь. Распространённые примеры:

Полное сохранение существующих настроек при редактировании

При редактировании существующего пользователя редактор загружает все его текущие возможности, включая профили и их параметры пула, пространства имён и пути, ничего не усекая и не удаляя за пределами настроек OSD.

Более точное управление и мониторинг

Ускоренные страницы CephFS

На странице управления CephFS теперь используется более эффективный источник данных. Том, группы подтомов и подтомы используют один набор данных вместо многократных запросов, поэтому страница загружается быстрее в средах с большим количеством подтомов.

Ёмкость диска на панели расположения накопителей

На панели дисков в настройках расположения жестких дисков сервера теперь отображается емкость каждого диска рядом с его серийным номером, что упрощает проверку конфигурации накопителей. Если емкость невозможно определить, на панели отображается «-», а не вводящий в заблуждение 0.

Более надежные настройки CRUSH и iSCSI

Если при переименовании типа корзины CRUSH возникает ошибка, пользовательский интерфейс теперь корректно сообщает о сбое, а не об успехе; имена ограничены буквами, цифрами, символами подчёркивания и дефисами. Базовый префикс IQN для iSCSI теперь проверяется и больше не принимает прописные буквы, поэтому проблемы выявляются до создания цели.

Более точные оповещения Samba

Метрика, отслеживающая готовность службы Samba, ранее могла застревать на аномальном значении, если системный компонент переставал отвечать, и не обновлялась после восстановления службы. В версии 4.19.7 для этих проверок добавлены тайм-ауты, поэтому после восстановления метрика возвращается к нормальному значению при следующей проверке. Также исправлено оповещение SambaExporterDown: кластеры без Samba больше не получают постоянные ложные предупреждения, а оповещение теперь корректно срабатывает при остановке контейнера Samba.

Более эффективная обработка уведомлений о срабатывании

При поступлении уведомления система больше не выполняет дополнительный запрос к Prometheus для получения сведений о правиле, а при отключённых уведомлениях по электронной почте дальнейшая обработка пропускается. Это снижает нагрузку на систему при одновременном срабатывании большого количества уведомлений.

Повышенная надёжность SMB и Active Directory

В версии 4.19.7 представлен ряд исправлений, повышающих стабильность службы SMB в средах Active Directory и предотвращающих превращение кратковременных сбоев в перебои в работе службы.

Глобальные настройки больше не перезаписываются автоматически

Ранее глобальные настройки кластера Samba могли автоматически перезаписываться периодической синхронизацией каждого узла, а не только изменяться администратором. Если во время чтения настроек возникла кратковременная проблема с подключением, система могла принять их за «ещё не настроенные» и сбросить до значений по умолчанию, из-за чего кластер, присоединённый к домену, переходил в рабочую группу, нарушалась аутентификация AD и терялись пользовательские глобальные параметры. Начиная с версии 4.19.7 глобальные настройки записываются только в том случае, если администратор явно изменяет их, например при присоединении к AD или выходе из него либо при добавлении пользовательского параметра. Если настройки невозможно прочитать, этот раунд синхронизации пропускается и повторяется в следующем раунде.

Более надежное присоединение к домену

Если AD включён в недавно созданном кластере Samba и после присоединения к домену проверка доверительных отношений завершается ошибкой, система теперь немедленно повторяет попытку в рамках того же раунда — до трёх раз — вместо пассивного ожидания следующего раунда синхронизации. Если контроллер домена временно недоступен, узел не выполняет повторное присоединение снова и снова, что защищает доверительные отношения других узлов.

Снижение фоновой нагрузки на Ceph

Синхронизация конфигурации Samba каждую минуту теперь считывает полную конфигурацию один раз за цикл вместо многократного запроса каждого элемента, что значительно сокращает постоянные фоновые запросы к Ceph. Конфиденциальные значения в конфигурации, такие как пароль администратора AD, по-прежнему остаются зашифрованными.

Исправление для нескольких VIP-адресов

Исправлена проблема, из-за которой при настройке двух или более VIP-адресов Samba один и тот же VIP-адрес записывался несколько раз во время инициализации.

Устойчивость и усиление безопасности

Более надежная база данных управления

База данных управления UVS (кластер MariaDB Galera) теперь корректно запускается при отсутствии существующего состояния кластера, а если база данных временно недоступна, запланированная проверка отчётов больше не препятствует запуску фоновой очереди заданий. Синхронизация базы данных между узлами также стала более надёжной: если база данных UVS Manager становится несогласованной между узлами из-за аппаратной неисправности, система автоматически устраняет проблему.

Исправления развертывания и повседневной эксплуатации

Теперь кластеры можно создавать, если имена хостов включают домен (полное доменное имя, например uvs101.example.com). Другие исправления устраняют проблемы, из-за которых служба SNMP не запускалась, на странице обновления не удавалось загрузить пакеты обновлений, функция «Как смонтировать» для подтома не создавала пользователя по умолчанию, а задание ежедневного мониторинга производительности (PCP) неоднократно завершалось с ошибкой после изменения имени хоста.

Усиление безопасности

Загрузка файлов в веб-интерфейсе теперь действительно отфильтровывает запрещённые расширения файлов, а не просто сообщает о них. PHP обновлён до версии 8.4.25, а неиспользуемые пакеты обновлены или удалены.

Часто задаваемые вопросы

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?