Очередная среда, наши DevOps-чуваки. В честь этого подготовили дайджест новостей и релизов.

⚫️ Вышел дистрибутив Ubuntu 25.04

Что нового? Улучшили пользовательский опыт благодаря GNOME 48, обновленному установщику ОС и поддержке HDR. Внесли множество изменений в модуль безопасности AppArmor, а также обновили Linux 6.14 и NetworkManager 1.52. Изучить все детали вы можете по этой ссылке.

🟡 SSL.com выдавал поддельные SSL-сертификаты из-за ошибки в валидации доменов

В центр сертификации SSL.com обнаружили критическую уязвимость, которая позволяла злоумышленникам получать SSL-сертификаты на чужие домены.

Ошибка возникла в реализации системы проверки владения доменом через подтверждение по электронной почте (Email to DNS TXT Contact). SSL.com ошибочно считал, что домен из email-адреса, указанного в DNS TXT-записи, принадлежит заявителю. Это открывало возможность получить сертификаты на популярные домены, не имея над ними фактического контроля.

Центр сертификации подтвердил факт неправильной выдачи 11 сертификатов и уже отозвал их. Полный отчёт по инциденту обещают опубликовать до 2 мая.

⚫️ Oracle зарелизили Critical Patch Update. Было исправлено 378 уязвимостей в MySQL, Java SE, VirtualBox и в других продуктах компании. Примечательно, что 255 уязвимостей могут быть использованы удалённо без аутентификации, а почти 40 классифицированы как критические. Рекомендуем обновиться как можно скорее.

🟡 Команда Wiz.io опубликовала исследовательский брифинг по безопасности Model Context Protocol (MCP) — нового протокола, который связывает LLM-приложения с внешними источниками данных и инструментами.

⚫️ В блоге Kubernetes вышел обзор на многоконтейнерные поды и sidecar-паттерн. В статье разбирается, как sidecar-контейнеры помогают расширять функциональность приложений без изменения их кода, когда их стоит использовать, а когда — лучше отказаться. Также описаны четыре ключевых паттерна: init, ambassador, configuration helper и adapter.

#devops #kubernetes #ssl #ubuntu

Выпускаем легкий средовый дайджест перед праздничными выходными.

🟡 Выпустили OpenBSD 7.7

Что нового? Обновление кода драйвера ядра Direct Rendering Manager (DRM), усовершенствование поддержки многопроцессорных систем (SMP), улучшение отзывчивости при нехватке памяти, в команде pkg_add реализован вызов ldconfig.

Остальные изменения смотрим тут.

⚫️ Крис Ричардсон опубликовал первую статью серии об аутентификации и авторизации в микросервисной архитектуре. На различных примерах он показывает, с какими вызовами сталкиваются распределённые системы при проверке прав доступа и какие подходы к этому можно использовать. В статье кратко сравниваются модели RBAC, ABAC и ReBAC, а также обсуждаются отличия между централизованной авторизацией в монолите и микросервисах.

🟡 Зарелизили nginx 1.28.0

В новую версию вошли все исправления ветки 1.27.Х. Из интересного: добавили кэширование SSL-сертификатов, ключей и CRL при запуске и обновлении конфигурации; в модуле stream теперь можно проверить отзыв сертификатов через протокол OCSP; оптимизировали производительность работы с HTTP/3.

Все исправления можно посмотреть здесь.

⚫️ Линус Торвальдс резко высказался о регистронезависимых файловых системах.

Поводом стало недавнее исправление работы Bcachefs, где сломалась поддержка case folding. По мнению Торвальдса, сама идея регистронезависимости — «ужасная ошибка», Unicode делает её реализацию не только сложной, но и потенциально опасной, а люди, работающие с файловыми системами — никогда ничему не учатся.

Дело в том, что Unicode содержит игнорируемые символы, которые не всегда одинаково обрабатываются файловыми системами, что приводит к уязвимостям и ошибкам. Например ❤️ и 🤍 могут считаться одинаковыми — и пройти мимо проверок безопасности в пользовательских приложениях.

Dammit. Case sensitivity is a BUG. The fact that filesystem people still think it's a feature, I cannot understand. It's like they revere the old FAT filesystem so much that they have to recreate it — badly.

#devops #openbsd #microservices #nginx

Собрали для вас подборку новостей и релизов за прошедшую неделю.

🟡 Redis 8.0 и возвращение к open-source лицензии

В прошлом году Redis перешли на закрытые лицензии RSALv2 и SSPLv1 вместо BSD. Директор Redis Ltd заявил, что переход на проприетарные лицензии выполнил необходимую задачу — AWS и Google создали свой собственный форк. Теперь, помимо RSALv2 и SSPLv1, Redis будет распространяться под AGPLv3.

Что нового в версии 8.0?

• Внесли более 30 оптимизаций производительности для ускорения команд до 87% и повышения пропускной способности в два раза
• Добавлены 8 новых структур данных
• Новый механизм репликации, который снижает использование памяти и ускоряет синхронизацию
• Все модули из Redis Stack теперь доступны и в Redis Open Source

Все изменения можно посмотреть здесь, а обновиться — тут.

⚫️ Команда Wiz подготовила подробный разбор уязвимостей в GitHub Actions и собрала лучшие практики по защите CI/CD-процессов. Авторы разобрали недавние supply chain-атаки, включая кейс с tj-actions, и дали рекомендации по настройке безопасности. Если кратко:

• Используйте только проверенные версии сторонних GitHub Actions — хеш-пиннинг обязателен.
• Выдавайте минимально необходимые права и аккуратно работайте с секретами — особенно с доступом к сторонним сервисам.
• Избегайте уязвимых триггеров вроде pull_request_target .

Подробности читаем в статье.

🟡 В блоге Kubernetes вышла статья о выходе в GA функции предотвращения утечек PersistentVolume при удалении объектов в неправильном порядке.

В материале рассказали, как finalizer гарантирует корректное удаление томов, даже если PV удаляется раньше связанного PVC. Раньше в таких случаях хранилище оставалось висеть в инфраструктуре.

⚫️ На DEV вышла статья, в которой автор делится опытом автоматизации настройки окружения и управления конфигурационными файлами с помощью Ansible. Он объясняет, почему отказался от GNU Stow и как настроил систему так, чтобы развёртывание конфигурации на любом новом устройстве — будь то Linux или macOS — происходило в один клик.

#devops #redis #opensource #github #ansible #kubernetes

The worst time to find out you are missing logs is during an incident!

Сегодня делимся полезной серией о том, как подготовиться к облачным инцидентам. Команда Invictus IR подготовила серию статей, посвящённых стратегии реагирования на инциденты в облаке — от настройки логирования до подготовки инфраструктуры.

Первая часть — практическое руководство о том, что нужно подготовить до инцидента, включая обеспечение доступа к ключевым ресурсам и настройку ролей.

Во второй части — ключевые логи в облаке: здесь основное внимание уделяется определению и приоритизации логов, необходимых для эффективного реагирования на инциденты в AWS, Azure и Google Cloud.

Третья часть — об инфраструктуре: как подготовить среду для быстрого анализа, локализации и устранения последствий атак, а также настройка логирования в AWS и Google Cloud.

#devops #security #devsecops #cloud

В эфире DevOps FM — срединедельный дайджест новостей и статей.

🟡 Вышел OpenSearch 3.0.

Новый релиз включает изменения для повышения производительности и масштабируемости. Например, добавили векторный движок, который применяется для работы с данными в ML и ускоряет векторный поиск. Ещё усовершенствовали работу с управлением данных, например pull-режим получения данных, поддержка gRPC, интеграция Apache Calcite и автоматическое определение типа индексов.

Все изменения можно посмотреть здесь.

⚫️ В Kubernetes 1.33 появилась новая функция, которая повышает безопасность при работе с приватными контейнерными образами. Теперь kubelet проверяет, действительно ли под имеет доступ к уже загруженному образу, даже если он используется с политикой IfNotPresent. Это изменение помогает избежать несанкционированного использования приватных образов другими подами на той же ноде.

В блоге Kubernetes подробно рассказали о проблеме, которую не могли решить более 10 лет, архитектуре решения и о том, как новая логика аутентификации работает под капотом.

🟡 GitHub обновил поиск по Issues — теперь он поддерживает вложенные запросы и логические операторы AND/OR.

Это улучшение позволяет более точно находить нужные задачи, комбинируя условия поиска. В статье рассказали, как команда реализовала эту функцию: от перехода на Abstract Syntax Tree и интеграции с Elasticsearch до тестирования на реальных нагрузках (до 2000 запросов в секунду). Всё это — с сохранением обратной совместимости и стабильности интерфейсов.

⚫️ На Medium вышел обзор ключевых обновлений в репозитории Cloud Networking Config Solutions от Google Cloud. В статье перечислены новые шаблоны и улучшения для настройки сетевой инфраструктуры в GCP: от поддержки VPC как spoke в Network Connectivity Center до обновлений для Vertex AI Workbench, App Engine и AlloyDB.

#devops #kubernetes #cloud #github #opensearch

Дайджест в среду как хорошо настроенный мониторинг: всегда ловит самое важное.

🟡 Зарелизили Debian 12.11

В релиз вошло 81 исправление ошибок для различных пакетов и 45 обновлений безопасности. Обновили ядро Linux, новые опции монтирования для XFS, добавили поддержку новых устройств и режима восстановления системы. Все обновления можно посмотреть здесь.

Напомним, что Debian 13 уже находится в стадии жесткой заморозки для тестирования и исправления проблем, релиз ожидается этим летом.

⚫️ У Docker появились Hardened Images — безопасные по умолчанию контейнеры, рассчитанные на продакшн. Образы минимальны, регулярно обновляются и поддерживают знакомые дистрибутивы вроде Debian. Поддерживается кастомизация, интеграция с CI/CD и инструментами безопасности. Подключение довольно простое, достаточно заменить базовый образ в Dockerfile.

Больше информации в статье.

🟡 На Faun опубликовали статью о 5 CI/CD-практиках, которые помогают сократить деплой. Автор рассказывает, как команда отказалась от ручных проверок, сделала пайплайн stateless, добавила автоматические гейты между окружениями и настроила безопасное управление секретами. Всё это — с примерами конфигов и скриптов.

⚫️ Microsoft открыли исходный код WSL и запустили сайт wsl.dev для разработчиков. Теперь любой желающий может собрать WSL из исходников, предложить патчи и поучаствовать в развитии подсистемы. Код опубликован под MIT-лицензией. Также в открытый доступ выложили консольный редактор Edit на Rust.

#devops #docker #microsoft #debian

☁️ Облачные концепции и их ньюансы

Пользователь Reddit предложил поделиться cloud концепциями, на понимание которых ушло гораздо больше времени, чем ожидалось. Вот несколько интересных кейсов:

Для меня это был IAM на AWS. Сначала все казалось простым — просто дайте пользователям права, верно? Но когда я вник в роли, политики, привилегии... Это было похоже на падение в кроличью нору.

Я сомневался в своих силах каждый раз, когда пытался устранить проблемы с доступом. Даже сейчас я перепроверяю каждую написанную политику по три раза 😅.

Думаю, для меня это была VPC на AWS. Это просто подсети... Ха-ха. Маршруты, шлюзы, частные и публичные подсети — все это похоже на попытку подключения центра обработки данных с помощью невидимых кабелей.

Мне потребовалось слишком много времени, чтобы понять что самая защищенная группа это та, которая ни с кем не соединена 😅.

Ценообразование

Oauth2/OpenID и смежные вопросы, они удивляют меня каждый день.

На первый взгляд все просто, но когда у вас есть несколько приложений с разными требованиями, использующих разные сценарии — их настройка превращается в запутанную паутину. Добавьте сюда корпоративную IDP, и на пенсию вы будете выходить со словами «сейчас, еще кое-что доделаю».

В нашей команде мы тратим 70% времени на различные темы аутентификации и авторизации. Это бесконечная яма.

Делитесь своими черными дырами в cloud-концепциях! Всем желаем весёлого чтения и хороших выходных!

#devops #reddit #cloud

Всем DevOps! Деплоим средовую подборку новостей и статей.

⚫️ Обнаружена уязвимость в GitHub MCP-сервере, связанная с ИИ-агентами

Команда Invariant Labs опубликовала исследование уязвимости, которая позволяет злоумышленнику через Issue заставить ИИ-агента слить данные из приватных репозиториев. В отчете продемонстрировано, как атака реализуется на практике и предложены инструменты для обнаружения и предотвращения. Рекомендуем ознакомиться тем, у кого есть ИИ-ассистенты в репозиториях.

🟡 В Grafana появилась поддержка импорта алертов в через UI. Теперь можно перенести алерты из Prometheus, Loki и Mimir в Grafana-managed alerts через UI и API. О нюансах — в статье.

⚫️ Ракан Аль-Зага опубликовал статью о современных подходах к авторизации. Он объясняет, почему традиционные модели (RBAC, ABAC) не справляются с масштабом микросервисов и мультиоблачной архитектуры и предлагает иные решения: Policy-as-Code и Authorization-as-a-Service.

🟡 Шон Вэбб рассказал о прогрессе внедрения Rust в FreeBSD.

Сейчас в отдельной ветке защищенных сборок FreeBSD уже можно собрать Rust-компоненты, при этом все зависимости лежат локально и собираются с пакетным менеджером Cargo. Поддержка библиотеки cdylib, нескольких программ в одном Makefile и прочие фичи — в планах.

⚫️ Крис Ричардсон выпустил вторую часть серии об аутентификации и авторизации в микросервисной архитектуре. На этот раз речь идёт об аутентификации — проверке личности пользователя. Крис объясняет, зачем микросервисам нужен отдельный IAM-сервис, как работают OAuth 2.0 и OpenID Connect, и как встроить всю эту механику в распределённую систему.

🎙 В эфире DevOps FM — пятничная подборка подкастов

1. Mastering Microservices от Stack Overflow Podcast. В гостях — Жё Джордж, бывший архитектор Uber и Netflix. Он вместе с ведущим обсуждает эволюцию микросервисной архитектуры, ключевую роль инструментов оркестрации, а также переход от open-source к управляемым сервисам.

2. KubeCon EU 2025 Special от Kubernetes Podcast. Всё самое интересное с KubeCon в Лондоне: платформенный инжиниринг, AI в Kubernetes, свежие апдейты по ядру и неожиданные кейсы вроде запуска Kubernetes на молочной ферме. Также — новости экосистемы, новые фичи в Kubernetes 1.33 и развитие Gateway API.

3. OpenTofu with Cory O’Daniel and Malcolm Matalka от Software Engineering Daily. В этом выпуске рассказывают, как изменение лицензии HashiCorp привело к созданию OpenTofu, делятся историей запуска проекта, обсуждают роль сообщества и объясняют, почему OpenTofu стал важным инструментом для IaC.

Желаем приятного прослушивания! Тем, кто отдыхает — хороших выходных, а тем, кто работает — спокойных дежурных смен!

#devops #подкаст

Первая летняя подборка новостей и релизов уже в эфире DevOps FM!

🟡 Зарелизили VirtualBox 7.1.10

Oracle выпустили VirtualBox 7.1.10, в которой исправили некоторые ошибки и улучшили производительность.
Из интересного:
• Добавлена поддержка Linux 6.15.
• Исправили проблемы с аварийным завершением VBoxManage на хостах Windows и завершением процесса VM Selector на базе Linux
• Исправлена проблема, не позволявшая вставлять данные из буфера обмена в гостевую систему, доступ к которой осуществляется при помощи протокола RDP.

⚫️ В блоге Kubernetes вышла статья о том, как обеспечить корректный порядок запуска контейнеров в поде, когда основное приложение зависит от sidecar-контейнера.

В материале рассматривается, почему даже при использовании нативных sidecar-контейнеров с restartPolicy: Always нельзя гарантировать, что sidecar будет полностью готов до старта основного приложения. Автор показывает, как решить эту проблему с помощью startupProbe, postStart-хуков и других механизмов Kubernetes, чтобы добиться нужной последовательности запуска.

⚫️ Линус Торвальдс распорядился заблокировать учётную запись лидера Ubuntu Security Team

Кеса Кука, одного из главных сторонников Rust в ядре, заблокировали за подмену информации об авторстве коммитов. Поводом стал pull-запрос в Linux 6.16, в котором использовался git-репозиторий с фиктивными изменениями — ряд коммитов в нём значились от имени самого Торвальдса, хотя он к ним не имел отношения.

Торвальдс расценил это как потенциально вредоносную активность и потребовал немедленной блокировки профиля Кука до выяснения обстоятельств. Кес объяснил инцидент неудачным восстановлением репозитория после сбоя SSD и ошибкой в использовании утилиты git-filter-repo в связке с b4 trailers.

Позже автор утилиты b4 подтвердил, что подмена произошла без злого умысла и была следствием некорректного использования утилиты. Доступ Кука к инфраструктуре был восстановлен, а в b4 появится дополнительная проверка, предотвращающая подобные случаи в будущем.

🟡 На TheNewStack опубликовали результаты исследования от Google посвященное зрелости подхода платформенной инженерии и ее влияние на бизнес. Один из ключевых выводов — 65% времени разработчиков тратится на задачи, которые можно устранить с помощью платформенной инженерии — например, настройка инструментов, обновления, поддержка среды и т.д. Ознакомиться с остальными результатами можно здесь.

#devops #linux #kubermetes #platformengineering