Temel Ceph, 19.2.6 Güvenlik Sürümüne Yükseltildi

19 Ağustos 2026'da Ceph projesi, dört CVE'yi gideren bir güvenlik sürümü olan Squid 19.2.6'yı yayımladı. Ceph projesi, tüm operatörlerin mümkün olan en kısa sürede yükseltme yapmasını önemle tavsiye ediyor. UniVirStor 4.19.7, Ceph 19.2.6 ile birlikte sunulduğundan hem yeni dağıtılan kümeler hem de yükseltilen mevcut kümeler bu sürümü çalıştırır.

Bu Sürümde Düzeltilen Dört CVE

CVSS puanları, resmî Ceph güvenlik duyurusundan alınmıştır; diğer güvenlik açığı veritabanları bu CVE’leri biraz farklı derecelendirebilir.

CephX Anahtar Rotasyonu: 4.19.7 Neleri Kapsıyor

CVE-2025-30156 yalnızca yükseltme yapılarak düzeltilemez. Ceph, bu düzeltme için aes256k adlı yeni bir anahtar türü sunar (CephX'in ilk kez bir anahtar türü eklemesi) ve düzeltme işlemini tamamlamak için mevcut anahtarların yeni türe döndürülmesi gerekir. 4.19.7 yükseltme prosedürü, aşağıdaki kapsamla anahtar döndürme işlemini içerir:

client.admin Neden Geçici Olarak Eski Anahtar Türünü Kullanmaya Devam Ediyor

CephFS veya RBD’yi Linux çekirdeği üzerinden bağlayan istemcilerin (çekirdek istemcileri) aes256k desteği için Linux çekirdeği 7.0 veya sonraki bir sürümü kullanması gerekir; ancak kurumsal ortamlarda kullanılan çoğu dağıtımla birlikte sunulan çekirdekler henüz bunu desteklememektedir. Varsayılan Ubuntu 22.04 çekirdeği buna bir örnektir. client.admin hesabını şimdi aes256k’ya geçirmek veya eski aes türünü devre dışı bırakmak, bu istemcilerin bağlanmasını hemen engelleyerek hizmet kesintisine yol açar.

Bu nedenle 4.19.7 aşamalı olarak geçiş yapar: küme hizmeti tarafındaki anahtar döndürme işlemi artık tamamlanmıştır; client.admin anahtarının döndürülmesi ve eski anahtar türünün devre dışı bırakılması ise istemci çekirdekleri yükseltilene kadar bekler. O zamana kadar mevcut istemciler, çekirdeğin hemen yükseltilmesine gerek kalmadan eskisi gibi çalışmaya devam eder.

CVE-2025-30156 için tam düzeltme, nihayetinde her istemcinin aes256k'yi desteklemesini gerektirir. CephFS veya RBD'yi çekirdek üzerinden bağlayan ana bilgisayarların envanterini çıkarmaya ve çekirdek yükseltmelerini planlamaya başlamanızı öneririz; bu tamamlandıktan sonra Ambedded desteği, istemci anahtarı geçiş takvimini sizinle birlikte memnuniyetle oluşturacaktır.

Yükseltme Nasıl Çalışır

4.19.7 bir güncelleme paketiyle yüklenir. Ana bilgisayarlar tek tek yükseltilir ve anahtarları döndürülür; bir sonraki ana bilgisayara geçmeden önce her ana bilgisayardan sonra küme sağlığı doğrulanır. Yükseltme sırasında Ceph hizmetleri sırayla yeniden başlatılır; bu nedenle işlemin bir bakım penceresi içinde planlanmasını öneririz. Mevcut müşteriler, güncelleme paketini ve yükseltme yönergelerini almak için Ambedded destek ekibiyle iletişime geçebilir.

Web Arayüzünde Eksiksiz CephX Kullanıcı Yeteneği Yönetimi

Daha önce UVS Manager'da CephX kullanıcı yetenekleri yalnızca OSD'ler için ayarlanabiliyordu. MON, MGR veya MDS yeteneklerini aynı anda ayarlamak ya da Ceph'in yerleşik profillerini kullanmak için komut satırı gerekiyordu. 4.19.7 sürümü, yeniden tasarlanmış bir yetenek düzenleyicisi sunuyor.

Dört Hizmet Türü İçin Ayrı Ayarlar

Bir CephX kullanıcısı oluştururken veya düzenlerken mon, mgr, osd ve mds için yetenekleri ayrı ayrı ayarlayabilir, ihtiyacınız olmayan türleri boş bırakabilirsiniz. Yeni bir kullanıcı, herhangi bir yetenek olmadan da oluşturulabilir ve yetenekler daha sonra eklenebilir.

Profiller ve Gelişmiş Parametreler

allow r/w/x kombinasyonlarına ek olarak Ceph'in yerleşik profilleri ile pool, namespace ve path gibi parametreler de desteklenir. Yaygın örnekler:

Düzenleme Sırasında Mevcut Ayarlar Tamamen Korunur

Mevcut bir kullanıcıyı düzenlediğinizde düzenleyici, profiller ile bunların havuz, ad alanı ve yol parametreleri de dahil olmak üzere mevcut tüm yeteneklerini yükler; OSD ayarları dışındaki hiçbir şeyi kesmez veya kaldırmaz.

Daha Doğru Yönetim ve İzleme

Daha Hızlı CephFS Sayfaları

CephFS yönetim sayfası artık daha verimli bir veri kaynağı kullanıyor. Birimler, alt birim grupları ve alt birimler tekrar tekrar sorgulanmak yerine tek bir veri kümesini paylaşıyor; böylece çok sayıda alt birimin bulunduğu ortamlarda sayfa daha hızlı yükleniyor.

Sürücü Konumu Panelinde Disk Kapasitesi

Sunucu Sabit Disk Konumu Ayarları'ndaki disk paneli artık her diskin kapasitesini seri numarasının yanında göstererek sürücü düzenini doğrulamayı kolaylaştırıyor. Kapasite okunamadığında panel, yanıltıcı bir 0 yerine "-" gösteriyor.

Daha Güvenilir CRUSH ve iSCSI Ayarları

Bir CRUSH bucket türü yeniden adlandırılırken hata oluşursa kullanıcı arayüzü artık başarı bildirimi yerine hatayı doğru şekilde bildirir; ayrıca adlar harfler, rakamlar, alt çizgiler ve kısa çizgilerle sınırlandırılmıştır. iSCSI IQN Temel Ön Eki artık doğrulanıyor ve büyük harfleri kabul etmiyor; böylece sorunlar bir hedef oluşturulmadan önce tespit ediliyor.

Daha Doğru Samba Uyarıları

Samba hizmetinin hazır olma durumunu izleyen metrik, bir sistem bileşeni yanıt vermeyi durdurduğunda daha önce anormal bir değerde takılı kalabiliyor ve hizmet kurtarıldıktan sonra güncellenmiyordu. 4.19.7 sürümü bu kontrollere zaman aşımı ekleyerek metriğin kurtarma sonrasındaki bir sonraki kontrolde normale dönmesini sağlıyor. SambaExporterDown uyarısı da düzeltildi: Samba içermeyen kümeler artık sürekli yanlış alarmlar almıyor ve Samba kapsayıcısı durduğunda uyarı artık doğru şekilde tetikleniyor.

Daha Verimli Uyarı Bildirimi İşleme

Bir uyarı geldiğinde sistem, kural ayrıntılarını aramak için artık ek bir Prometheus sorgusu çalıştırmaz. E-posta bildirimi devre dışı bırakıldığında ise işlemenin geri kalanı atlanır. Bu, aynı anda çok sayıda uyarı tetiklendiğinde sistem yükünü azaltır.

Geliştirilmiş SMB ve Active Directory Güvenilirliği

4.19.7, Active Directory ortamlarında SMB hizmetinin kararlılığına yönelik bir dizi düzeltme içerir ve kısa süreli aksaklıkların hizmet kesintilerine dönüşmesini önlemeye odaklanır.

Genel Ayarların Artık Otomatik Olarak Üzerine Yazılmaması

Daha önce, bir Samba kümesinin genel ayarları yalnızca bir yönetici tarafından değiştirilmekle kalmayıp her düğümün periyodik eşitlemesi tarafından da otomatik olarak geri yazılabiliyordu. Ayarlar okunurken kısa süreli bir bağlantı sorunu oluştuysa sistem bunları "henüz yapılandırılmamış" olarak değerlendirebilir ve varsayılan ayarlara sıfırlayabilir. Bu durum, etki alanına katılmış bir kümenin çalışma grubuna geri dönmesine, AD kimlik doğrulamasının bozulmasına ve özel genel parametrelerin kaybolmasına neden olabilir. 4.19.7 sürümünden itibaren genel ayarlar yalnızca bir yöneticinin AD'ye katılma veya AD'den ayrılma ya da özel bir parametre ekleme gibi işlemlerle bunları açıkça değiştirmesi durumunda yazılır. Ayarlar okunamazsa, ilgili senkronizasyon turu atlanır ve bir sonraki turda yeniden denenir.

Daha Güvenilir Etki Alanına Katılım

Yeni oluşturulan bir Samba kümesinde AD etkinleştirildiğinde ve etki alanına katıldıktan sonra güven ilişkisi denetimi başarısız olduğunda, sistem artık bir sonraki eşitleme turunu pasif bir şekilde beklemek yerine aynı tur içinde hemen, en fazla üç kez yeniden deniyor. Etki alanı denetleyicisine geçici olarak erişilemiyor gibi görünüyorsa düğüm tekrar tekrar katılmıyor; bu da diğer düğümlerin güven ilişkilerini koruyor.

Ceph'te Daha Düşük Arka Plan Yükü

Samba'nın dakika başına yapılandırma senkronizasyonu artık her öğeyi tekrar tekrar sorgulamak yerine her turda yapılandırmanın tamamını bir kez okuyor ve Ceph'e gönderilen sürekli arka plan sorgularını büyük ölçüde azaltıyor. AD yöneticisi parolası gibi yapılandırmadaki hassas değerler şifrelenmiş olarak kalıyor.

Birden Fazla VIP İçin Düzeltme

İki veya daha fazla Samba VIP'si yapılandırıldığında, başlatma sırasında aynı VIP'nin birden fazla kez yazılmasına neden olan sorun düzeltildi.

Stabilite ve Güvenlik Güçlendirme

Daha Sağlam Bir Yönetim Veritabanı

UVS yönetim veritabanı (MariaDB Galera Cluster), mevcut bir küme durumu olmadığında artık doğru şekilde başlatılıyor. Veritabanı geçici olarak kullanılamadığında, zamanlanmış rapor denetimi artık arka plan iş kuyruğunun başlatılmasını engellemiyor. Düğümler arasındaki veritabanı senkronizasyonu da daha güvenilir hâle getirildi: UVS Manager veritabanı bir donanım sorunu nedeniyle düğümler arasında tutarsız hâle gelirse sistem bunu otomatik olarak onarıyor.

Dağıtım ve Günlük Operasyon Düzeltmeleri

Ana bilgisayar adları bir etki alanı (örneğin uvs101.example.com gibi bir FQDN) içerdiğinde artık kümeler oluşturulabilir. Diğer düzeltmeler arasında SNMP hizmetinin başlatılamaması, Güncelleme sayfasının güncelleme paketlerini yükleyememesi, bir alt birimin "Nasıl bağlanır" işlevinin varsayılan kullanıcıyı oluşturamaması ve ana bilgisayar adı değişikliğinden sonra günlük performans izleme (PCP) işinin tekrar tekrar başarısız olması yer alır.

Güvenlik Sağlamlaştırması

Web Arayüzündeki dosya yüklemeleri artık yalnızca uyarıda bulunmak yerine izin verilmeyen dosya uzantılarını gerçekten filtreliyor. PHP, 8.4.25 sürümüne yükseltildi ve kullanılmayan paketler yükseltildi veya kaldırıldı.

Sıkça Sorulan Sorular

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?