Ceph nền tảng được nâng cấp lên bản phát hành bảo mật 19.2.6

Vào ngày 19 tháng 8 năm 2026, dự án Ceph đã phát hành Squid 19.2.6, một bản phát hành bảo mật khắc phục bốn CVE. Dự án Ceph đặc biệt khuyến nghị tất cả nhà vận hành nâng cấp sớm nhất có thể. UniVirStor 4.19.7 đi kèm Ceph 19.2.6, vì vậy cả các cụm mới triển khai và các cụm hiện có được nâng cấp đều chạy phiên bản này.

Bốn CVE được khắc phục trong bản phát hành này

Điểm CVSS được lấy từ thông báo bảo mật chính thức của Ceph; các cơ sở dữ liệu lỗ hổng khác có thể đánh giá những CVE này hơi khác.

Xoay vòng khóa CephX: 4.19.7 bao gồm những gì

CVE-2025-30156 không thể được khắc phục chỉ bằng cách nâng cấp. Ceph giới thiệu một loại khóa mới, aes256k, cho bản sửa lỗi này (đây là lần đầu tiên CephX bổ sung một loại khóa), và các khóa hiện có phải được xoay vòng sang loại mới để hoàn tất việc khắc phục. Quy trình nâng cấp lên phiên bản 4.19.7 bao gồm việc xoay vòng khóa, với phạm vi như sau:

Tại sao client.admin tạm thời vẫn giữ loại khóa cũ hơn

Các máy khách gắn CephFS hoặc RBD thông qua nhân Linux (máy khách nhân) cần nhân Linux 7.0 trở lên để hỗ trợ aes256k, nhưng các nhân được hầu hết các bản phân phối sử dụng trong môi trường doanh nghiệp cung cấp hiện vẫn chưa hỗ trợ tính năng này; nhân mặc định của Ubuntu 22.04 là một ví dụ. Việc chuyển client.admin sang aes256k ngay bây giờ hoặc vô hiệu hóa loại aes cũ hơn sẽ khiến các máy khách này không thể gắn kết ngay lập tức và làm gián đoạn dịch vụ.

Do đó, phiên bản 4.19.7 thực hiện quá trình chuyển đổi theo từng giai đoạn: việc xoay vòng khóa ở phía dịch vụ cụm đã hoàn tất, trong khi việc xoay vòng client.admin và vô hiệu hóa loại khóa cũ hơn sẽ chờ đến khi các kernel máy khách được nâng cấp. Cho đến lúc đó, các máy khách hiện tại vẫn tiếp tục hoạt động như trước mà không cần nâng cấp kernel ngay lập tức.

Việc khắc phục hoàn toàn CVE-2025-30156 cuối cùng yêu cầu mọi máy khách phải hỗ trợ aes256k. Chúng tôi khuyến nghị bắt đầu kiểm kê các máy chủ gắn CephFS hoặc RBD thông qua kernel và lập kế hoạch nâng cấp kernel; sau khi hoàn tất, bộ phận hỗ trợ của Ambedded sẵn sàng phối hợp với bạn để xây dựng lịch trình di chuyển khóa máy khách.

Cách thức hoạt động của việc nâng cấp

4.19.7 được cài đặt bằng gói cập nhật. Các máy chủ được nâng cấp và khóa của chúng được xoay vòng lần lượt từng máy một; tình trạng sức khỏe của cụm được xác nhận sau mỗi máy chủ trước khi chuyển sang máy tiếp theo. Các dịch vụ Ceph lần lượt khởi động lại trong quá trình nâng cấp, vì vậy chúng tôi khuyến nghị lên lịch thực hiện trong thời gian bảo trì. Khách hàng hiện tại có thể liên hệ với bộ phận hỗ trợ của Ambedded để nhận gói cập nhật và hướng dẫn nâng cấp.

Quản lý đầy đủ quyền người dùng CephX trên giao diện web

Trước đây, quyền của người dùng CephX trong UVS Manager chỉ có thể được thiết lập cho OSD. Việc thiết lập đồng thời quyền cho MON, MGR hoặc MDS, hay sử dụng các hồ sơ tích hợp sẵn của Ceph, đều yêu cầu dòng lệnh. Phiên bản 4.19.7 giới thiệu trình chỉnh sửa quyền được thiết kế lại.

Cài đặt riêng cho bốn loại dịch vụ

Khi tạo hoặc chỉnh sửa người dùng CephX, bạn có thể thiết lập riêng quyền cho mon, mgr, osd và mds, đồng thời để trống bất kỳ loại nào không cần dùng. Bạn cũng có thể tạo người dùng mới mà không cần quyền nào và thêm quyền sau.

Hồ sơ và tham số nâng cao

Ngoài việc cho phép kết hợp r/w/x, các hồ sơ tích hợp sẵn của Ceph cũng được hỗ trợ, cùng với các tham số như pool, namespace và path. Một số ví dụ phổ biến:

Bảo toàn hoàn toàn các cài đặt hiện có khi chỉnh sửa

Khi chỉnh sửa một người dùng hiện có, trình chỉnh sửa sẽ tải tất cả quyền hiện tại của người dùng đó, bao gồm các hồ sơ cùng các tham số pool, namespace và path, mà không cắt ngắn hoặc loại bỏ bất kỳ nội dung nào bên ngoài cài đặt OSD.

Quản lý và giám sát chính xác hơn

Các trang CephFS nhanh hơn

Trang quản lý CephFS hiện sử dụng nguồn dữ liệu hiệu quả hơn. Các volume, nhóm subvolume và subvolume dùng chung một tập dữ liệu thay vì truy vấn lặp lại, nhờ đó trang tải nhanh hơn trong các môi trường có nhiều subvolume.

Dung lượng ổ đĩa trong bảng điều khiển vị trí ổ đĩa

Bảng đĩa trong phần Cài đặt vị trí ổ cứng máy chủ hiện hiển thị dung lượng của từng đĩa cùng với số sê-ri, giúp dễ dàng xác minh bố cục ổ đĩa hơn. Khi không thể đọc dung lượng, bảng sẽ hiển thị "-" thay vì số 0 gây hiểu nhầm.

Cài đặt CRUSH và iSCSI đáng tin cậy hơn

Nếu xảy ra lỗi khi đổi tên loại bucket CRUSH, giao diện người dùng hiện báo cáo chính xác lỗi thay vì báo thành công; tên chỉ được phép chứa chữ cái, chữ số, dấu gạch dưới và dấu gạch ngang. Tiền tố cơ sở IQN iSCSI hiện được xác thực và không còn chấp nhận chữ cái viết hoa, giúp phát hiện vấn đề trước khi tạo mục tiêu.

Cảnh báo Samba chính xác hơn

Chỉ số theo dõi trạng thái sẵn sàng của dịch vụ Samba trước đây có thể bị kẹt ở một giá trị bất thường khi một thành phần hệ thống ngừng phản hồi và không cập nhật sau khi dịch vụ khôi phục. Phiên bản 4.19.7 bổ sung thời gian chờ cho các lần kiểm tra này, vì vậy chỉ số sẽ trở về bình thường ở lần kiểm tra tiếp theo sau khi khôi phục. Cảnh báo SambaExporterDown cũng đã được khắc phục: các cụm không có Samba sẽ không còn liên tục nhận cảnh báo giả, và cảnh báo hiện kích hoạt chính xác khi vùng chứa Samba dừng hoạt động.

Xử lý thông báo cảnh báo hiệu quả hơn

Khi một cảnh báo đến, hệ thống không còn thực hiện truy vấn Prometheus bổ sung để tra cứu thông tin chi tiết của quy tắc. Khi thông báo qua email bị tắt, các bước xử lý còn lại sẽ được bỏ qua. Điều này giúp giảm tải hệ thống khi nhiều cảnh báo được kích hoạt cùng lúc.

Cải thiện độ tin cậy của SMB và Active Directory

Phiên bản 4.19.7 bao gồm một loạt bản sửa lỗi nhằm cải thiện tính ổn định của dịch vụ SMB trong các môi trường Active Directory, tập trung vào việc ngăn các sự cố ngắn hạn phát triển thành tình trạng gián đoạn dịch vụ.

Cài đặt chung không còn bị tự động ghi đè

Trước đây, các cài đặt toàn cục của một cụm Samba có thể được mỗi nút tự động ghi lại thông qua quá trình đồng bộ hóa định kỳ, thay vì chỉ được quản trị viên thay đổi. Nếu xảy ra sự cố kết nối ngắn trong khi đọc các cài đặt, hệ thống có thể coi chúng là "chưa được cấu hình" và đặt lại về mặc định, khiến cụm máy chủ đã tham gia miền chuyển về nhóm làm việc, làm hỏng xác thực AD và làm mất các tham số toàn cục tùy chỉnh. Kể từ phiên bản 4.19.7, các cài đặt toàn cục chỉ được ghi khi quản trị viên thay đổi chúng một cách rõ ràng, chẳng hạn như tham gia hoặc rời khỏi AD hay thêm tham số tùy chỉnh. Nếu không thể đọc các cài đặt, lượt đồng bộ hóa đó sẽ được bỏ qua và thử lại ở lượt tiếp theo.

Tham gia miền đáng tin cậy hơn

Khi AD được bật trên một cụm Samba mới tạo và quá trình kiểm tra mối quan hệ tin cậy không thành công sau khi tham gia miền, hệ thống giờ đây sẽ thử lại ngay trong cùng một vòng, tối đa ba lần, thay vì thụ động chờ đến vòng đồng bộ hóa tiếp theo. Nếu bộ điều khiển miền tạm thời không thể truy cập, nút sẽ không liên tục tham gia lại, qua đó bảo vệ các mối quan hệ tin cậy của những nút khác.

Giảm tải nền trên Ceph

Tính năng đồng bộ hóa cấu hình theo từng phút của Samba giờ đây đọc toàn bộ cấu hình một lần trong mỗi chu kỳ thay vì liên tục truy vấn từng mục, giúp giảm đáng kể các truy vấn nền liên tục gửi đến Ceph. Các giá trị nhạy cảm trong cấu hình, chẳng hạn như mật khẩu quản trị viên AD, vẫn được mã hóa.

Bản sửa lỗi cho nhiều VIP

Đã khắc phục sự cố trong đó, khi cấu hình từ hai Samba VIP trở lên, cùng một VIP bị ghi nhiều lần trong quá trình khởi tạo.

Củng cố tính ổn định và bảo mật

Cơ sở dữ liệu quản lý mạnh mẽ hơn

Cơ sở dữ liệu quản lý UVS (MariaDB Galera Cluster) hiện khởi động chính xác khi chưa có trạng thái cụm hiện tại, và khi cơ sở dữ liệu tạm thời không khả dụng, việc kiểm tra báo cáo theo lịch không còn ngăn hàng đợi tác vụ nền khởi động. Việc đồng bộ hóa cơ sở dữ liệu giữa các nút cũng đã được cải thiện về độ ổn định: nếu cơ sở dữ liệu UVS Manager trở nên không nhất quán giữa các nút do sự cố phần cứng, hệ thống sẽ tự động khắc phục.

Các bản sửa lỗi triển khai và vận hành hằng ngày

Giờ đây có thể tạo các cụm khi tên máy chủ bao gồm miền (FQDN, ví dụ: uvs101.example.com). Các bản sửa lỗi khác khắc phục sự cố dịch vụ SNMP không khởi động, trang Cập nhật không tải lên được các gói cập nhật, chức năng "Cách gắn kết" của một subvolume không tạo được người dùng mặc định và tác vụ giám sát hiệu suất hằng ngày (PCP) liên tục gặp lỗi sau khi thay đổi tên máy chủ.

Tăng cường bảo mật

Tính năng tải tệp lên trong giao diện web giờ đây thực sự lọc các phần mở rộng tệp không được phép thay vì chỉ đưa ra gợi ý. PHP được nâng cấp lên phiên bản 8.4.25, đồng thời các gói không sử dụng đã được nâng cấp hoặc gỡ bỏ.

Câu hỏi thường gặp

▾What are the main updates in UniVirStor 4.19.7?

▾Is CVE-2025-30156 fully remediated after upgrading to 4.19.7?

▾Do my clients need to be upgraded right away?

▾What can I configure in the CephX user capability editor?

▾Will upgrading to 4.19.7 interrupt service?