Собрали для вас подборку выявленных уязвимостей. В качестве приятного бонуса – обзор изменений в KIP и решения платформенной инженерии.
⏺Начнем с уязвимостей в GSSAPI к OpenSSH. Если коротко, речь идет о получении доступа до аутентификации пользователей. CVE-2026-3497 уже обнаружили в Debian и Ubuntu. Использование уязвимости приводит к повреждению памяти и обходу механизма разделения привилегий и появляется, если подтвердить обмен ключей GSSAPI. Подробнее – здесь.
⏺Выкатили список из 9 уязвимостей в AppArmor, которые предоставляют root-доступ к системе. CVE-идентификаторы назначили не всем, известно только о CVE-2026-3888 в snapd и Rust Сoreutils . Зато представили кодовое имя – «дыра в броне» с отсылкой на приложение (CrackArmor). Кроме прав root-доступа злоумышленники могут обойти ограничения в AppArmor, выйти из изолированных контейнеров. Проблемы встретились LSM-модуле, дистрибутивов Ubuntu, Debian, openSUSE и SUSE. Разработчикам Linux передали патчи, которые будут включены в последующие релизы (в т.ч. Ubuntu). Список оставили здесь. А подробнее об CVE-2026-3888 – тут.
⏺Модуль IPv6 в Linux могут убрать. В компании SUSE отметили, что при установке сборки подсистемы добавляют множественные обработчики на случай выгрузки IPv6. Для упрощения сопровождения, снижения нагрузки предложили опции для встраивания модуля или полное отключение. Детали – здесь.
⏺В блоге Kubernetes выкатили статью об изменениях в KIP (Kubernetes Image Promoter). Саша Грунерт из RadHat предоставил исторический очерк: со старта проекта в 2018 году до текущих изменений. Цель Линуса Арвера, одного из основоположников, состояла в упрощении, автоматизации переноса контейнерных образов в Kubernetes. В течение следующих лет в проект внесли множество инструментов (cip, gh2gcs, krel promote-images, promobot-files), поддержку SBOM. Ключевая проблема – скорость обработки промо-джобов для образов и ошибки в rate limits. В статье описаны все фазы работы с
issue #1701 и представлен новый promotion пайплайн для стабилизации в проде. Как это было – читайте здесь.⏺На Robusta разобрали подводные камни платформенной инженерии. В качестве оптимального решения Натан Йелин, руководитель высшего звена, предложил переход на MVP.
Из ключевых проблем автор вынес:
⁃ Множество URL: инженеры «теряются» в них при использовании набора инструментов и микросервисов
⁃ Неумение работать с Kubernetes: команды отлично справляются с Docker, но поднимают менеджеров в 3 ночи из-за некорректной проверки работоспособности контейнеров
⁃ Перенос ответственности за поддержку на DevOps: 30% времени уходит на ответ разработчикам в Slack-е, а вопросы одни и те же – «где найти логи пода»
⁃ Работа с тикетами: разработчики направляют тикеты инженерам из-за отсутствия доступов, а нужна ли «прослойка» между инструкцией и действием?
Как закрыть эти проблемы с MVP – читайте тут.
#девопс #безопасность #linux