DevOps FM

Разработчики Nginx изучили сообщения о критической уязвимости в веб-сервере

Хакерская группировка BlueHornet сообщила, что в ее распоряжении есть работающий эксплоит для уязвимости в Nginx 1.18.

Разработчики Nginx подтвердили, что проблема, о которой писали хакеры, существует и рассказали, как с ней бороться. Подробности - в статье Хаkер.RU.

На YouTube опубликован фильм Kubernetes: The Documentary. Для желающих есть субтитры на русском языке.

Документалка состоит из двух частей. Те, кто участвовал в разработке, развитии и продвижении Kubernetes - инженеры из Google и других компаний - рассказывают, как они преодолевали технические сложности, нежелание Google делать K8s Open Source-проектом, скептицизм сообщества и конкуренцию с другими игроками рынка.

Part 1 - здесь.
Part 2 - здесь.

Глобальный сбой у Atlassian в работе нескольких сервисов, в числе которых Jira и Confluence, продлится еще две недели.

Его причину разработчики выяснили 7 апреля, но инцидент зашел слишком далеко, чтобы его можно было быстро исправить.

Причиной стал некорректный скрипт в процедуре планового обслуживания IT-инфраструктуры, который «непреднамеренно» отключил небольшое количество сайтов и платформ от Atlassian, заблокировав доступ клиентам к своим решениям и данным. Проблемы возникли и продолжают наблюдаться у сервисов Jira Software, Jira Work Management, Jira Service Management, Confluence, Opsgenie, Statuspage и Atlassian Access.

GitHub предлагает проверять частные корпоративные репозитории на наличие ключей API и токенов аутентификации

GitHub теперь может автоматически блокировать коммиты, содержащие ключи API и токены аутентификации. Платформа объявила о расширении возможностей Advanced Security, чтобы автоматически блокировать утечки.

Сканирование секретов — это дополнительный параметр безопасности, который организации, использующие GitHub Enterprise Cloud с лицензией GitHub Advanced Security, могут включить для дополнительной защиты репозитория.

Оно работает путем сопоставления шаблонов, определенных организацией или предоставленных партнерами и поставщиками услуг. Каждое совпадение отображается в виде предупреждения безопасности на вкладке «Безопасность» репозитория или партнера, если оно соответствует его шаблону.

Google, MongoDB, Databricks и другие создали альянс для упрощения переноса данных между облачными сервисами

Одиннадцать компаний, предоставляющих услуги облачного хранения, основали объединение Data Cloud Alliance. Оно будет работать над облегчением переноса данных между разными платформами и упрощения доступа к ним для разных бизнес-систем.

В альянс вошли Google Cloud, Accenture, Confluent, Databricks, Dataiku, Deloitte, Elastic, Fivetran, MongoDB, Neo4j, Redis и Starburst. Примечательно, что Snowflake подала заявку на регистрацию товарного знака Data Cloud Alliance в 2020 году, но позже отменила регистрацию и не вошла в созданный альянс.

Идея состоит в том, чтобы облегчить жизнь клиентам компаний-участников альянса. При этом партнеры альянса в большинстве своем не конкурируют, а предлагают услуги, дополняющие друг друга.

В Google подчеркивают, что миссия альянса в том, чтобы «доступ к данным никогда не был препятствием для цифровой трансформации».

🚨 5 апреля Canonical объявила о прекращении всех работ по платным проектам и сервисам в РФ. Компания отправила уведомление о прекращении поддержки, профессиональных услуг и партнерских отношений с российскими предприятиями.

Canonical не будет никаким образом ограничивать или блокировать российских пользователей Ubuntu.

На днях Grafana Labs анонсировали самую, по их заявлению, производительную TSDB для долговременного хранения Prometheus-метрик в S3-like хранилищах.

Всем DevOps! ♾️

Весной всегда хочется перемен и чего-нибудь свежего, и Павел Шалимов из Nixys как раз сегодня решил познакомить нас с кое-чем новым, подготовив статью «Введение в k3s: познакомимся с младшим братом k8s»

Известно, что кластер Kubernetes достаточно сложен в настройке, и требует значительных ресурсов, что затрудняет развертывание на локальной машине для обучения или разработки. Это приводит к тому, что не для каждого бизнеса перейти на полноценный k8s представляется возможным.

К счастью, на этот случай есть более легкое решение в виде k3s. В этой статье вы узнаете об особенностях k3s, о том, чем он отличается от полноценного Kubernetes, а также как произвести его установку на виртуальной машине.

Критический баг в GitLab позволяет захватывать чужие аккаунты

В GitLab устранили критическую уязвимость, которая позволяла удаленным злоумышленникам получать доступ к учетным записям пользователей с помощью жестко заданных паролей. Проблема CVE-2022-1162 затрагивала как GitLab Community Edition (CE), так и Enterprise Edition (EE).

Разработчики объясняют, что статические пароли по ошибке устанавливались во время регистрации на основе OmniAuth в GitLab CE/EE.

GitLab призывает пользователей как можно скорее обновить все установки до последних версий (14.9.2, 14.8.5 или 14.7.7), чтобы защититься от возможных атак. Также разработчики добавили, что уже сбросили пароли некоторых пользователей GitLab.com, стремясь смягчить последствия CVE-2022-1162. При этом подчеркивается, что пока никаких признаков компрометации и эксплуатации этого бага хакерам обнаружено не было.

Хотя пока атак на уязвимость не зафиксировано, компания создала скрипт, который позволит администраторам найти учетные записи пользователей, потенциально уязвимых перед CVE-2022-1162. В случае обнаружения уязвимых аккаунтов администраторам рекомендуется немедленно сбросить их пароли.

GitHub объяснил причину сбоев в марте

GitHub объяснил перебои с работой 16, 17, 22 и 23 марта. Как заявили представители платформы, сбои были вызваны проблемами «конфликта ресурсов» с их основным кластером MySQL под названием «MySQL1». Проблема повлияла на производительность большого количества сервисов и функций GitHub.

Новичкам в DevOps (а возможно и не только новичкам) определенно будет интересно: открытый вебинар «Введение в Docker» для сисадминов Linux от школы OTUS.

Занятие продлится 1,5 часа, и вот что на нем будет:
- Рассмотрение основ контейнеризации
- Сравнение контейнеризации и виртуализации
- О популярном инструменте контейнеризации Docker
- Из каких основных компонентов и сущностей состоит Docker, и как они взаимодействуют между собой

🗓 Когда? 5 апреля в 20:00

👉🏻 Для регистрации на занятие нужно пройти вступительный тест https://otus.pw/ZK1U/

Универсальный Helm-чарт для ваших приложений

По этой ссылке статья Романа Андреева из Nixys про универсальный Helm-чарт: как к нему пришли, почему он стал стандартным инструментом, и насколько эффективнее он делает работу.

Oops ❗️

Вечером 22 марта произошел глобальный сбой в работе сервисов платформы для хостинга IT-проектов GitHub. Проблемы наблюдались по всему миру: в США, Европе, Азии.

Наблюдались проблемы со всеми основными сервисами: были недоступны разработчикам или работали с ошибками Git Operations, API Requests Webhooks, Issues, Pull Requests, Projects, GitHub Actions и GitHub Packages.

GitHub восстановил все сервисы спустя более 2,5 часов после начала инцидента.

Сегодня облачная платформа Yandex.Cloud объявила о повышении стоимости услуг своих сервисов с 13 апреля.

Рост цен на популярные сервисы будет от 40% до 60%. На некоторые позиции - до 80%.

Яндекс пояснил повышение цен нестабильной ситуацией в мире и экономике, которая оказывает беспрецедентное влияние на бизнес всех технологических компаний и вынуждает Yandex.Cloud пересмотреть стоимость услуг в рублях и тенге. Цены в долларах останутся без изменений.

По данным Яндекса, основные причины данного шага — это значительное повышение цен у поставщиков и производителей на покупку нового сетевого и серверного оборудования из-за роста курса валют, а также сложности в логистике поставок и закупок.

Девопсам привет!

Большинство из вас почти наверняка уже столкнулись с тем, что различные библиотеки начали встраивать малварь, которая может наносить вред файлам, если пользователи используют российские IP.

Например, это просочилось в Vue - при использовании российских IP все файлы пользователей могут будут полностью затерты символами ❤️. И это совсем не шутка. Это то, что способно нанести реальный урон серверам и ПК людей из России.

Вот что необходимо сделать в этом случае:

✔️Добавить всплывающие окна с информацией о проблеме на официальном сайте.
✔️Перестать использовать зараженные vue-cli-пакеты.

Также можно:

✔️Добавить предупреждения в vue-devtools, опубликовав новые версии, чтобы пользователи могли автоматически обновиться и увидеть предупреждение.

А по этой ссылке от коллег из Техдирского клуба @ctorecordschat Список опасных для использования OpenSource-продуктов, которые теперь реально несут риски гибели (малварь, шифровальщики и пр.) - в общем, всё, что лучше не обновлять, вместе с информацией, чем это чревато.

Кстати, каждый может пополнить список: если вам что-то известно, оставляйте сообщение в специальной анкете.

Уязвимость в Azure Automation давала доступ к чужим учетным записям Azure.

Об этом рассказали специалисты Microsoft и Orca Security. Уязвимость давала злоумышленникам возможность получать несанкционированный доступ к чужим учетным записям пользователей Azure. В итоге они устанавливали полный контроль над чужими ресурсами и данными в зависимости от привилегий атакуемых учеток.

MongoDB предупредила клиентов из России и Беларуси, что удалит все их данные на платформе MongoDB Atlas.

При этом сроки на сохранение данных не указаны, а в рассылке стоит требование «download your backup IMMEDIATELY».

Вероятно, если ваша компания хранит важные данные на платформе, то их следует скопировать, если они еще не удалены безвозвратно.

GitLab заявила о приостановке продаж своих корпоративных и платных сервисов в России и Беларуси для новых клиентов.

Компания пояснила, что будет следить за ситуацией и продолжит соблюдать экспортный контроль и регуляторные ограничения для корпоративных заказчиков.

Привет! Продолжаем нашу постоянную рубрику санкционка. Итак, какие новости у нас к сегодняшнему дню?

📌 Google перестала подключать к облачному сервису Cloud новых пользователей из России.
Также компания приостановила работу действующих аккаунтов россиян в рекламной сети AdSense и запретила регистрацию там новых пользователей. При этом в Беларуси сервис будет работать в обычном режиме.
Ранее сообщалось о том, что и AWS, и Azure приостановили прием новых клиентов из России.

📌 JetBrains объявил порядок поддержки своих продуктов для клиентов из России и Беларуси. Ранее компания объявила о приостановке операционной деятельности в этих странах.

📌 UpWork - всё. Компания перестанет обслуживать клиентов из России и Беларуси с 1 мая.