Сезоны сменяют друг друга, а наш дайджест выходит по расписанию.

👀Инцидент Trivy
1 марта зафиксировали атаку ИИ-бота: hackerbot-claw получил доступ к репозиториям в GitHub Actions. Пострадали несколько проектов Microsoft, DataDog и CNCF, а репозиторий Trivy был переименован в `aquasecurity/private-trivy `и вместо публичного кода был запушен пустой репо, массово удалены релизы, артефакты и обсуждения. Об инциденте – тут, а также в обсуждении.

⏺На GitLab вышел патч-релиз 18.9.1, 18.8.5, 18.7.5
В релизе представлены исправления для обеспечения безопасности. Включили защиту от CVE-2026-0752 в Mermaid, и несколько DoS уязвимостей в контейнерах, Jira и обработке merge request’ов (CVE-2025-14511, CVE-2026-1662, CVE-2026-1388). Также устранили проблемы при лимите запросов в импортере Bitbucket Server, создании переменных для CI джобов и контролем доступа в пакетных репозиториях. Обратите внимание при обновлении: на одиночных nod-ах переход займет время, ожидайте downtime, на на множественных – применяйте принцип zero-downtime. Подробнее – на GitHub.

⏺ Шон Вэбб отчитался о проделанной в феврале 2026 в HardenedBSD.
Большая часть времени ушла на расследование kernel crash в ветке 15-STABLE. Ожидаем новых сборок на этой неделе или в рамках обновления 1 апреля 2026. По проекту mesh-сетей (Meshtastic + Reticulum + HardenedBSD) ведется работа по созданию proof-of-concept. Также опубликовали скрипт на Python для exec-over-meshtastic. В части инфраструктурой разработки приняли решение о постепенной миграции части репозиториев с self-hosted GitLab в Radicle. Отчёт– здесь.

⏺На портале Percona вышел отчёт о серии уязвимостей, затрагивающих все версии Valkey.
Часть проблем исправлена в версиях valkey-server и valkey-bloom, поэтому мы настоятельно рекомендуем обновиться. Исправления затронули CVE-2025-67733, ошибки обработки символов null в скриптах Lua, CVE-2026-21864, некорректная обработка ошибок парсинга RDB в модулях, CVE-2026-21863, некорректной валидации пакетов в cluster bus и CVE-2026-27623, DoS перед аутентификацией.
Без обновления можете:
⁃ ограничить команды EVAL, EVALSHA, FCALL, RESTORE через ACL
⁃ изолировать cluster bus порт
⁃ проверить модули на корректную обработку IO-ошибок
Подробнее – здесь.

⏺Не мигрируйте, пока не ознакомитесь
В блоге Kubernetes описали поведение Ingress-NGINX, которое важно учитывать при миграции на Gateway API. Автор уточняет, что речь пойдет исключительно об этом контроллере, а не NGINX Ingress от F5. Из основных особенностей работа с префиксами regex в Ingress-NGINX, которые не учитывает регистр. При переносе может пострадать маршрутизация. Следующая особенность – use-regex влияет на все Ingress с теми же хостами. Если хотя бы один Ingress для хоста содержит use-regex: "true", все пути считываются как regex. В Gateway API exact остаётся exact. После миграции такие запросы начнут возвращать 404. Также в статье упоминают автоматические редиректы и нормализацию URL перед matching. Как безопасно переехать – указали тут.

#devops #gitlab #valkey #kubernetes #новостная_подборка

Новостной дайджест в DevOps FM!

Можно бесконечно смотреть на три вещи: как горит огонь, течет вода и выходит свежая новостная подборка.

👩‍💻 GitHub отчитался об атаке на внутренние репозитории. В результате установки расширения VS Code на устройство сотрудника был запущен вредонос. Под угрозой оказались 3800 репозиториев сервиса. Подробности – здесь.

⏺ Май с гордостью носит звание месяца уязвимостей класса CopyFail. Аарон Исо из команды безопасности V12 обнаружил шестую по счету, PinTheft. Уязвимость возникла из-за ошибки в zerocopy double-free, двойного освобождения буфера. При сбое локальный пользователь может изменять, перезаписывать данные в страничном кэше.

Для устранения можете воспользоваться патчем, который приняли в ветку netdev 11 мая или отключить RDS:

rmmod rds_tcp rds
printf 'install rds /bin/false\ninstall rds_tcp /bin/false\n' > /etc/modprobe.d/pintheft.conf

PoC с принципом работы PinTheft – на GitHub.

⏺ Выпустили обновление nginx v.1.31.0 с устранением CVE-2026-42945. 13 мая на портале myP5 опубликовали рекомендации по обеспечению безопасности в версиях, начиная с 0.6.27. Эксплоит для уязвимости – здесь.

В nginx v.1.31.0 включили:
• Модуль ngx_http_tunnel_module для перенаправления на другой сервер через прокси
• Директивы least_time для балансировки нагрузки при передаче запроса и proxy_ssl_alpn для списка протоколов с расширением ALPN

Подробнее – тут.

➡️Сегодня зарелизили модуль nginx версии 0.9.9 с устранением критической уязвимости с эксплуатацией через запросы $http_*, $arg_*, $cookie_*.

⏺ Юбилейный релиз OpenBSD 7.9 выкатили с упором на архитектуру AMD64 (x86_64). В новой версии увеличили CPU процессора с 64 до 255 для поддержки серверов на Intel Xeon и AMD EPYC, внесли исправления в графический движок AMDGPU и обновили DRM до Linux v. 6.18.22. Внесли изменения и в сетевой стек со встроенным IPv6 SLAAC и отслеживанием source, state. Множественные фиксы и улучшения здесь.

⏺ Canonical представили монолитный Ubuntu Core 26, компактный дистрибутив без разбивки на deb-пакеты. Включили систему сборки на базе Chisel для работы с подмножеством snap-пакетов, сократили время на установку обновлений благодаря snap-delta. А также обеспечили совместимость Snapd REST API с OpenAPI, интеграцию с инструментами наблюдаемости на платформе Kubernetes. Теперь Ubuntu Core передает логи в Grafana, Loki и Prometheus.

⏺ Объявили о мажорном релизе Valkey c усилением безопасности, производительности и обновленной системой наблюдаемости. Изменения коснулись ограничений контроля доступа на уровне БД, движка Lua, I/O метрик, поддержки формата JSON.

Среди новых команд:
• HGETDEL читает и удаляет поля hash за одну операцию
• MSETEX задаёт несколько ключей с одним временем удаления, TTL
• CLUSTERSCAN выполняет единое сканирование ключей по всему кластеру и нодам

Подробности в блоге Valkey и на GitHub.

#девопс #безопасность #nginx #valkey #openbsd