Cобрали серию минорных релизов для обеспечения безопасности, а внизу – рекомендации от Cilium. Не забудьте обновиться :)
👩💻Спустя неделю после обнаружения CopyFail в ядре Linux нашли Dirty Frag. По сути, эта уязвимость относится к классу Dirty Pipe, обнаруженной в марте 2026, и позволяет непривилегированному пользователю получать права
root. ➡️В этом репозитории подробно описали сценарии атаки, задействованные компоненты.
⏺ Из обновлений, Грег Кроа-Хартман сообщил о релизах ядер Linux с частичным исправлением Dirty Frag, Copy Fail 2. Также, можете использовать следующую команду для чистки модулей (не забудьте удалить после выпуска исправлений и обновиться до версии с патчем):
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; echo 3 > /proc/sys/vm/drop_caches; true"
⏺Вчера выпустили серию патч-релизов Kubernetes версий 1.33.12, 1.34.8, 1.35.5 и текущей 1.36.1, на Go v.1.26.2.
Устранили баги при работе с kubelet на ZFS при отсутствии плагина cadvisor, Kube-proxy с операциями в кластерах с 1000+ эндпоинтами, Kubeadm для ускорения работы балансировщика и дали рекомендации по назначению роли кластера, проверки статуса etcd.
Весь CHANGELOG и расширенный список улучшений в Kubernetes – тут.
⏺ В Grafana включили патчи по обеспечению безопасности до версии 13.0.1+security-01, которые закрывают проблемы с критическими уязвимостями.
⏺Зарелизили OpenZFS 2.4.2.
В новую версию включили поддержку Linux 7.0 и обеспечили совместимость с FreeBSD v.13.3+, 14.0+. Исправили баги с initramfs, добавили поддержку POSIX_FADV_DONTNEED, обновили процессы непрерывной интеграции (CI) и расширили лицензию SPDX.
Больше деталей об обновлении – здесь. Если вы всё ещё не перешли на ветку 2.4, OpenZFS v.2.3.7 уже доступна, ознакомиться можно тут.
⏺ В Debian поддержка воспроизводимых сборок стала обязательной.
Пол Геверс предоставил список обновлений, в котором указал обязательную сборку «бит-к-биту» для контроля качества и безопасности в цепочке поставок. Перенос новых и обновление текущих пакетов с регрессиями в testing запрещены. Теперь пользователи могут лично убедиться, что бинарные файлы собраны из исходных текстов и избежать компроментации.
⏺ GitLab принял решение сократить штат в пользу ИИ-агентов до 1 июня. Билл Стейплс в блоге GitLab пояснил, что «под раздачу» попадут до 30% команд из других стран для сокращения «операционного следа». Git перепроектируется для масштабирования в machine-scale инфраструктуре, изменения внесут в CI для обеспечения контроля и валидации агентов.
⏺ В блоге Cilium дали рекомендации по безопасности CI/CD в open-source проектах. Мейнтейнер Андре Мартинс проанализировал атаки на цепочку поставок за 12 месяцев и на примере проектов компании вывел несколько правил:
⁃ Контроль действий через двухэтапные проверки
pull_request_target. ⁃ Не доверять изменяемым тегам в GitHub Actions и пиннить все действия и образы SHA.
⁃ Вендоринг зависимостей на Go для воспроизводимых сборок. CI проверяет, что между
go.mod, go.sum и vendor/ нет расхождений.⁃ Изоляция секретов и ограничение доступа к производственным кредам.
Вся таблица с рекомендациями – здесь.
#девпос #безопасность #linux #новостная_подборка