Самый страшный костюм на Хэлоуин

MemOps 😃

HCP Terraform: сбои при подключении к системам контроля версий.

HashiCorp связала перебои с версией агента 1.33.2. Для агентов, установленных на собственной инфраструктуре, рекомендовали вернуться к версии 1.33.1.

📌 Подробнее: https://statuspage.incident.io/hashicorp-services/incidents/01M5J9S4598B4CW5PZN0P739CD

MemOps🤨

MemOps 😃

Запросы и ограничения к процессору и памяти Go в Kubernetes

Небольшая куча Go не всегда означает низкое использование памяти контейнером. Куча разделяет ограничение памяти контейнера со стеками подпрограмм, метаданными времени выполнения, распределениями cgo и памятью, отображаемой непосредственно из операционной системы. Linux может остановить процесс Go, даже если его куча выглядит исправной.

📌 Подробнее: https://learnkube.com/go-kubernetes-requests-limits

MemOps🤨

MemOps 😃

Terraform: исправлены ошибки при проверке схем провайдеров.

В версии 1.16.7 устранён сбой, возникавший при проверке схем с устаревшими параметрами. Также обновлён Go — это исправляет проблему с доверием к сертификатам скомпрометированных промежуточных центров eMudhra.

📌 Подробнее: https://github.com/hashicorp/terraform/releases

MemOps🤨

MemOps 😃

Dockhand — современное и эффективное приложение для управления Docker, обеспечивающее управление контейнерами в реальном времени, оркестровку стека Compose и поддержку нескольких сред. Все это в легком, безопасном и ориентированном на конфиденциальность пакете.

Возможности:
— управление контейнерами : запуск, остановка, перезапуск и мониторинг контейнеров в режиме реального времени.
— Compose Stacks : визуальный редактор для развертывания Docker Compose.
— интеграция с Git : развертывание стеков из репозиториев Git с помощью веб-хуков и автоматической синхронизации.
— многосредовая среда : управление локальными и удаленными хостами Docker.
— терминал и журналы : интерактивный доступ к командной оболочке и потоковая передача журналов в реальном времени.
Файловый браузер : просмотр, загрузка и скачивание файлов из контейнеров.
— резервное копирование : Направления резервного копирования Restic с запланированными операциями резервного копирования, восстановления, проверки и удаления.
— аутентификация : единый вход (SSO) через OIDC, локальные пользователи и опционально RBAC (Enterprise).

📌 Подробнее: https://github.com/Finsys/dockhand

MemOps🤨

MemOps 😃

Уязвимости в Linux и FreeBSD

5 уязвимостей в ядре Linux, раскрытых проектом Zero Day Initiative до публикации исправлений из-за ошибочной отправки информации не в тот список рассылки:

❤️ ZDI-CAN-33549 - уязвимость в модуле ksmbd c реализацией файлового сервера на базе протокола SMB, которую можно эксплуатировать для удалённого выполнения кода на уровне ядра. Доступен прототип эксплоита, работающий в Debian 13.
❤️ ZDI-CAN-33774 - состояние гонки в модуле ядра ksmbd, приводящее к записи в 40-байтовый буфер, выделенный для протокола SMB1, 62 байт данных из заголовка SMB2. Уязвимость может привести к удалённому выполнению кода при наличии доступа к SMB-хранилищу, обрабатываемому через ksmbd. Доступен прототип эксплоита, работающий в Debian 13.
❤️ ZDI-CAN-33367 - уязвимость в сетевом стеке ядра, позволяющая локальному пользователю получить права root в системе, перезаписав данные процесса в страничном кэше по аналогии с уязвимостями Dirty Frag и Fragnesia. Исправление доступно в форме патча. Из дистрибутивов пока только разработчики Alma Linux сформировали внеплановое обновление пакетов с ядром, в котором исправили данную уязвимость.
❤️ ZDI-CAN-34068 - переполнение буфера в графическом драйвере VMWGFX, применяемом для реализации 3D-ускорения в окружениях VMware. Проблема позволяет локальному пользователю получить права root в системе, при наличии доступа к виртуальному GPU через устройство /dri/card*. Доступен прототип эксплоита, работающий в Ubuntu 26.04
❤️ ZDI-CAN-34076 - уязвимость в драйвере nvmet (NVMe Target), приводящая к утечке информации о содержимом памяти ядра.

Набор уязвимостей "Infinity Core". Раскрыты сведения и опубликованы прототипы эксплоитов для 5 уязвимостей в ядре, позволяющих непривилегированному пользователю получить права root в системе и обойти изоляцию контейнеров. Проблемы уже устранены в актуальных выпусках ядра.

❤️ CVE-2026-98260 - обращение к памяти после её освобождения из-за повторного использования структуры POSIX-таймера, память под которую была освобождена в основном потоке после сбоя при выполнении вызова exec(), но ссылка осталась в очереди (timerqueue) в другом потоке. Доступен прототип эксплоита, работа которого была продемонстрирована в Ubuntu 26.04 и в Android на смартфоне Samsung Galaxy S26 Ultra.
❤️ CVE-2026-98256 - обращение к памяти после её освобождения из-за состояние гонки между вызовом exec() во вторичном потоке и очисткой очереди сигналов (sigqueue), ожидающих обработки. При манипуляциях с очередью может возникнуть ситуация, при которой ссылка на обработчик сигнала останется в очереди после освобождения связанной с ним памяти, и затем будет использована при обработке сигналов. Работа эксплоита продемонстрирована в Ubuntu 26.04.
❤️ CVE-2026-89754 - переполнение буфера в реализации системного вызова mincore(), возникающее из-за состояния гонки при повторном обходе таблиц страниц памяти после выполнения madvise(MADV_DONTNEED). Работа эксплоита продемонстрирована в Ubuntu 26.04.
❤️ CVE-2026-80775 - обращение к памяти после её освобождения в системном вызове prctl(), возникающее из-за некорректного отслеживания счётчиков ссылок для хешей фьютексов при возникновении состояния гонки между задачами, совместно использующими одну структуру mm_struct при вложенном вызове vfork(). Эксплоит, использующий уязвимость для перезаписи /usr/bin/passwd в страничном кэше, продемонстрирован в Ubuntu 26.04.
❤️ CVE-2026-98385 - обращение к памяти после её освобождения в обработчике кэша планировщика задач, возникающее из-за того, что планировщик обновляет поля со статистикой в структуре mm_struct для задачи после освобождения связанной с ней памяти в случае выполнения вызова exec() на другом ядре CPU. Уязвимость проявляется в ядрах с включённой опцией CONFIG_SCHED_CACHE. Работа эксплоита продемонстрирована в Arch Linux с ядром 7.2.4.

Опубликованы детали и эксплоиты для уязвимостей в ядре Linux, успешно использованных при взломах на проводимом компанией Google соревновании kernelCTF:

CVE-2026-23111, CVE-2023-31248, CVE-2023-3610, CVE-2026-23272, CVE-2026-23278,CVE-2026-23392, CVE-2026-23231 - обращения к памяти после её освобождения в Netfilter nftables.
CVE-2024-26583 - состояние гонки во встроенном TLS-сервере.
CVE-2025-38177 - обращение к памяти после её освобождения в подсистемах управления трафиком (HFSC, QFQ, netem qdiscs).
CVE-2025-38248 - обращение к памяти после её освобождения в реализации сетевых мостов (net/bridge).
CVE-2025-40214 - обращение к памяти после её освобождения в реализации UNIX-сокетов.
CVE-2026-23074 - обращение к памяти после её освобождения в ограничителе трафика sch_teql.
CVE-2026-23209, CVE-2026-23273 - обращения к памяти после её освобождения в обработчике macvlan.
CVE-2026-23274 - обращение к памяти до инициализации в netfilter xt_IDLETIMER.
CVE-2026-31418 - переполнение буфера в netfilter.
CVE-2026-31419 - обращение к памяти после её освобождения в драйвере net/bonding.
CVE-2026-43501 - переполнение буфера в обработчике IPv6-заголовка RPL Source Routing.

❤️ Уязвимость Vghost (CVE-2026-74580) в подсистеме ядра vhost, применяемой для ускорения операций ввода/вывода через Virtio в системах виртуализации. Уязвимость вызвана некорректной работой с кэшем таблиц трансляции адресов ввода-вывода (IOTLB) и может использоваться для повышения своих привилегий в системе и для обхода изоляции гостевой системы. При перенастройке адресов или размеров очередей (vring) через вызовы VHOST_SET_VRING_ADDR или VHOST_SET_VRING_NUM кэш vq->meta_iotlb[] не очищался, что приводило к трансляции новых адресов с использованием уже недействительных записей о маппинге памяти. Опубликован прототип эксплоита для получения прав root, протестированный в дистрибутивах Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 и Oracle Linux 10.2.

Уязвимости во FreeBSD (устранены в обновлениях 15.1-RELEASE-p5, 14.5-RELEASE-p2 и 14.4-RELEASE-p11):

❤️ CVE-2026-101308 - обращение к памяти после её освобождения в драйвере sound, возникающее из-за состояния гонки между операцией изменения размера буфера и маппингом памяти через mmap. Уязвимость потенциально позволяет локальному пользователю, имеющему доступ к звуковому устройству, получить права root.
❤️ CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 - уязвимости в компонентах гипервизора Bhyve, позволяющие через манипуляции в гостевой системе выполнить код на стороне хост-окружения. Проблемы вызваны выходом за границы буфера из-за состояния гонки в модели контроллера xHCI (USB 3), а также отсутствием должных проверок размера записей в моделях устройств HDA (High Definition Audio) и framebuffer.
❤️ CVE-2026-101307 - целочисленное переполнение в модуле tcp_rack c реализацией алгоритма определения потери пакетов RACK (Recent ACKnowledgment), приводящее к выделению буфера, слишком мелкого, чтобы вместить все полученные данные. Уязвимость позволяет перезаписать до 512 КБ в области за границей буфера при отправке большого числа ACK-пакетов в установленном TCP-соединении. Отмечается, что эксплуатация может привести к переводу ядра в состояние panic.

Linux / Линукс 🥸

6 GitHub-репозиториев для изучения DevOps

Kubernetes examples. Официальные примеры манифестов и приложений под k8s, на которых удобно разбираться, как это всё описывается на практике.
https://github.com/kubernetes/examples

Terraform AWS modules. Готовые проверенные модули под AWS. Отличный образец того, как писать переиспользуемый и аккуратный Terraform-код.
https://github.com/terraform-aws-modules/terraform-aws-modules

Prometheus. Исходники самой популярной системы мониторинга. Если хотите понять метрики и алертинг не на уровне дашбордов, а изнутри, это сюда.
https://github.com/prometheus/prometheus

Argo CD. GitOps-деплой в Kubernetes: состояние кластера описывается в git, а Argo приводит кластер к нему. Must-have для понимания современного CD.
https://github.com/argoproj/argo-cd

Kubernetes the Hard Way. Легендарный гайд Келси Хайтауэра: кластер поднимается полностью вручную, без скриптов и автоматики. Больно, но после него k8s перестаёт быть магией.
https://github.com/kelseyhightower/kubernetes-the-hard-way

The System Design Primer. Не совсем про DevOps, но без системного дизайна дальше джуна не уехать. Масштабирование, кеши, очереди, базы, всё с примерами.
https://github.com/donnemartin/system-design-primer

MemOps🤨