Админим с Буквой

Админим с Буквой: Gitlab снова выпускает релизы в неподдерживаемые ветки, интересно, что бы это могло быть? Официальных релизных заметок ещё не было, но мы же всё понимаем? 28.10.2026: v19.0.11-ee v19.1.10-ee v19.2.10-ee 27.10.2026: v19.4.5-ee v19.5.3-ee 26.10.2026: v18.11.14… для тех кому интересно, где узнавать о релизах до их выхода: можно смотреть тут https://gitlab.com/gitlab-org/gitlab/-/tags или через какой-то готовый агрегатор типа @newreleasesiobot. —— полуночные мысли вслух —— и если уж они опять пошли 18.х патчить, дело пахнет керосином. Пока причём билда докеров самих в регистри нет ещё.

Gitlab снова выпускает релизы в неподдерживаемые ветки, интересно, что бы это могло быть? Официальных релизных заметок ещё не было, но мы же всё понимаем? 28.10.2026: v19.0.11-ee v19.1.10-ee v19.2.10-ee 27.10.2026: v19.4.5-ee v19.5.3-ee 26.10.2026: v18.11.14-ee v19.3.7-ee v19.4.4-ee v19.5.2-ee

Если вы отвечаете за инфраструктуру компании, присматриваетесь к альтернативам VMware или разбираете инциденты, приходите 12 ноября на DUC meetup /6. Это офлайн-встреча Deckhouse User Community в Москве. Из докладов вы узнаете: • как домашняя инфраструктура за 13 лет выросла из одного ноутбука в геораспределённый Kubernetes-кластер; • как университет переходит с VMware на виртуализацию Deckhouse; • как в компании внедряли IncidentGPT, Open Source-проект для работы с инцидентами с помощью ИИ. После докладов оставайтесь на нетворкинг и пиццу :) Мест немного, поэтому оставьте заявку, чтобы попасть в список гостей

12 лекций-переводов (из 57) великолепной книжки про операционные системы: OSTEP (оригинал, на английском) лекции: https://github.com/bykvaadm/OS/tree/master/ostep/lectures лабы: https://github.com/bykvaadm/OS/tree/master/ostep/labs перевод делал я 7 лет тому назад, с тех пор больше ни разу ничего не правил. (Там может встречаться дичка и кривой перевод) переводил для себя, чтобы читать студентам. По сути это готовый материал на семестр - 12 лекций и 3 лабы.

пора адвент-календарь собирать октябрьский. до конца месяца еще неделя. держитесь, хлопцы!

Ну наконец-то...новости! нас порадовали очередной десяткой в гитлабе v18.11.13-ee v19.0.10-ee v19.1.9-ee v19.2.9-ee v19.3.6-ee v19.4.3-ee v19.5.1-ee Еще один крит уже с оценкой 10.0 в GitLab CVE-2026-110264, выполнение кода без условий и очень просто. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 On October 21, 2026, we released versions 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 for GitLab Community Edition (CE) and Enterprise Edition (EE). These versions contain important bug and security fixes, and we strongly recommend that all self-managed GitLab installations be upgraded to one of these versions immediately. GitLab.com is already running the patched version. GitLab Dedicated tenants running 19.3.5-internal0 and 19.4.2-internal0 or later already include these fixes and do not need to take action. GitLab releases fixes for vulnerabilities in patch releases. There are two types of patch releases: scheduled releases and ad-hoc critical patches for high-severity vulnerabilities. Scheduled releases are released twice a month on the second and fourth Wednesdays. For more information, please visit our releases handbook and security FAQ. You can see all of GitLab release blog posts here. For security fixes, the issues detailing each vulnerability are made public on our issue tracker 90 days after the release in which they were patched. We are committed to ensuring that all aspects of GitLab that are exposed to customers or that host customer data are held to the highest security standards. To maintain good security hygiene, it is highly recommended that all customers upgrade to the latest patch release for their supported version. You can read more best practices in securing your GitLab instance in our blog post.

Админим с Буквой: Вышла интересная новость про компроментацию ключей УЦ eMudhra (emSign) The Register Ключи оказались до смешного простыми: один из приватных ключей УЦ — это число «4». Компрометация бьёт по более чем 60 млн выпущенных сертификатов, которым теперь нельзя доверять.…

https://www.php.net/archive/2026.php#2026-10-20-1

Вышла интересная новость про компроментацию ключей УЦ eMudhra (emSign) The Register Ключи оказались до смешного простыми: один из приватных ключей УЦ — это число «4». Компрометация бьёт по более чем 60 млн выпущенных сертификатов, которым теперь нельзя доверять. Среди других восстановленных ключей называют 66, 155, 156, 230 и 237 — настолько слабые, что подбираются брутфорсом. «Число 4» в роли приватного ключа доверенного CA 🌝 Разбор механики — CoinDesk По словам исследователей, eMudhra брал крошечные целые числа вместо стойких 384-битных случайных — и все восемь ключей удалось восстановить из публичных сертификатов меньше чем за секунду. Браузеры сертификаты быстро заблокировали, об атаках не сообщалось, но небраузерный софт, не проверяющий отзыв, может оставаться уязвимым. То есть инфру, как-будто никто не ломал. Ключи просто "восстановили". А вот почему одной блокировки корня мало Восемь intermediate кросс-подписаны корнем Sectigo AAA Certificate Services — распустив доверие только к eMudhra, атакующий всё ещё предъявит цепочку через Sectigo. Поэтому банят по публичным ключам: команде Go пришлось захардкодить распускание доверия к восьми ключам прямо в стандартную библиотеку. Coindesk Internet panics after 8 eMudhra private keys get cracked Eight secret keys at eMudhra, an Indian firm that vouches for websites, were compromised. Browsers and software makers are rushing out fixes.

Forwarded From Ever Secure (Aleksey Fedulaev) have fun Приоритет: сначала то, что ходит наружу с секретами CI-раннеры, билд-образы, контроллеры с внешними API... 1. Linux-хосты (Ubuntu/Debian) bash sed -i -E 's#^(mozilla/(emSign_[^ ]+|Comodo_AAA_Services_root)\.crt)$#!\1#' /etc/ca-certificates.conf update-ca-certificates --fresh # проверка — должно быть пусто: ls /etc/ssl/certs | grep -iE 'emsign|aaa' Долгоживущие процессы (агенты, экспортеры) перечитывают store только при рестарте. 2. Alpine — вышел фикс ca-certificates-20261020-r0 (все ветки): bash apk upgrade ca-certificates ca-certificates-bundle apk policy ca-certificates # должно быть >= 20261020-r0 3. Контейнеры — свой store в каждом образе, фикс ноды не помогает: пересобрать базовые образы и пересобрать весь флот 4. Рантаймы со встроенным хранилищем: Python: certifi >= 2026.10.19, или SSL_CERT_FILE на вычищенный системный бандл. Node.js: NODE_OPTIONS=--use-openssl-ca (Linux, при вычищенном системном store). Встроенный бандл Node пока не исправлен. Java: keytool -delete алиасов emSign/AAA в $JAVA_HOME/lib/security/cacerts каждого JDK-образа. Go: пересобрать сервисы на Go 1.27.3 / 1.26.10 — встроенный блок-лист, не зависит от store. 5. CI/CD (GitLab runner, docker executor): в config.toml: toml [[runners]] environment = ["SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt","NODE_OPTIONS=--use-openssl-ca"] [runners.docker] volumes = ["/etc/ssl/certs/ca-certificates.crt:/etc/ssl/certs/ca-certificates.crt:ro"] dind со своим store чистить отдельно 👀@ever_secure | 💪 Обучение | 💳Поддержать

Админим с Буквой: Обновление гитлабчика приехало. Ажн бекпортировали на неподдерживаемые ветки. Анонса официального ещё не было, ждём-с, что завезли на этот раз =) v18.11.13-ee v19.0.10-ee v19.1.9-ee v19.2.9-ee v19.3.6-ee v19.4.3-ee v19.5.1-ee ну, теперь, тов-щ девопс понял откуда ветер дует)

Админим с Буквой: Попробую перевести на русский то о чём тут пишут пацаны: https://t.me/tech_b0lt_Genona/7171 https://t.me/ever_secure/1387 1) ломанули один из промежуточных УЦ которому сейчас доверяют все 2) хацкер выложил на гх пруф ов концепт что он владеет ключом и может… ну и рекомендация от devsecops\appsec\и прочии регалии всея РФ)) 1) берешь и по всей инфре выпиливаешь эти серты 2) пересобираешь все базовые образы без этой хуйни 3) пересобираешь все ворклоады 4) патчишь все SDK (Java, GO, Python) 5) в идела фриз на сборки/деплой 6) до тех пор, пока не устраните 7) ну и все что было собрано за это время нахер снести гл хф.

Попробую перевести на русский то о чём тут пишут пацаны: https://t.me/tech_b0lt_Genona/7171 https://t.me/ever_secure/1387 1) ломанули один из промежуточных УЦ которому сейчас доверяют все 2) хацкер выложил на гх пруф ов концепт что он владеет ключом и может выписывать серты. А точнее - всю цепочку всех приватных сертов. И выписать доверенный серт может каждый 3) это означает что если на сетевом пути попадется малварный узел или хацкер заанонсит BGP префиксы или любым другим способом заставит вас прийти к нему, то ты придешь на поддельный сайт полностью ему доверяя Доброй ночи. Telegram Технологический Болт Генона Скомпрометировали приватные ключи промежуточных удостоверяющих центров (CA) компаний eMudhra/emSign. Compromised eMudhra Intermediate Certificates https://groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/0XofdebrAAAJ?utm_medium=emai…

Обновление гитлабчика приехало. Ажн бекпортировали на неподдерживаемые ветки. Анонса официального ещё не было, ждём-с, что завезли на этот раз =) v18.11.13-ee v19.0.10-ee v19.1.9-ee v19.2.9-ee v19.3.6-ee v19.4.3-ee v19.5.1-ee

Админим с Буквой: Дорабатываю потихонечку студию 1. переехал на github pages, просто потому что нет никакого смысла так не делать, это просто файл со статикой. и сразу за https, который нужен для работы с камерой и микрофоном. Живёт студия теперь тут: https://bykvaadm.git… У студии наконец-то появилась документация 😁 https://bykvaadm.github.io/BStudio/docs.html Вот'c нью: 1) теперь можно писать в mp4, если хром не 100-летней давности (Chrome/Edge 126+) — сразу заливаешь в телегу или в давинчи 2) появился режим съёмки экрана. если есть 2 монитора — студию на второй, а по картинке экрана можно рисовать и светить лазером прямо в студии, всё попадает в запись. это заменяет базовый функционал OBS. итого режимов съёмки теперь 3: экран, слайды и слайды+суфлёр. 3) слайды теперь можно подать тремя способами: картинки (png и вообще любые), pdf, или деку из Claude Design — сохраняешь её одним html-файлом в папку урока, студия сама переснимет её в кадры. 4) дока, да =) https://bykvaadm.github.io/BStudio/docs.html

Админим с Буквой: Добрались и до наших дата-центров. Первым пал ДЦ Яндекс в Рязанской области Засим, напоминаю :)

Forwarded From Ever Secure (Aleksey Fedulaev) Немного запоздал с новостью, но тут интересно другое 15 октября появилась публичная информация о KVM escape и патчи ядра Linux. Авторы не предоставили публичный PoC опасаясь эксплуатации в дикой природе уже 17го числа был взломан FirstVDS Что еще раз подтверждает, что с современным ИИ эксплоит и PoC не нужен. Информации из анализа изменений достаточно для обнаружения ошибки и написания полноценного эксплоита в кратчайшие сроки 👀@ever_secure | 💪 Обучение | 💳Поддержать

PwnEscape (CVE-2026-99999) — побег из VM на хост через сетевой стек Linux Считается что это ошибка в IPv4-стеке ядра хоста. Гость передаёт через virtio-net метаданные для подсчёта контрольной суммы, хост им доверяет и перезаписывает уже проверенный заголовок IPv4 (TOCTOU). Итог: утечка памяти ядра хоста, его падение или выполнение кода от root. Баг живёт в ядре с 2008 года. Под ударом хосты виртуализации с чужими гостями: облака, VPS, песочницы на KVM/Firecracker. Патчить нужно хост, обновление гостя не поможет. CVSS: 9.3 (Linux CNA, NVD), 8.8 у Red Hat. Патчи: upstream (коммит 6785011f8b16, стабильные ветки от 5.10 до 7.2), Debian 12/13, AlmaLinux 8–10 (пока в testing). У RHEL и Ubuntu фикса ещё нет. Обходного пути нет — только обновление ядра и перезагрузка.

Для всех слоупоков кто как и я: с 1.14 версии (давно то есть) hashicorp vault поддерживает ACME. т.е. можно в компании поднимать стандартного сертбота и выписывать себе автоматически сертификаты со всем удобством как с LE - автоматическая пролонгация, отслеживание. Меньше человеческой работы - больше времени на ценные улучшения в инфраструктуре.

Forwarded From IT STAND Live: Kubernetes v1.37: Garhwal Рассмотрим нововведения: Storage Version Migration включён по умолчанию: больше никаких ручных миграций объектов в etcd после смены версии API Pod Certificates и ClusterTrustBundles: короткоживущие сертификаты для подов прямо из kubelet. Прощай, самописный mTLS на костылях? kube-proxy в режиме ipvs отправлен на пенсию. Это первый шаг к удалению, переезд на nftables больше не откладываем kubectl run -f устарел, а Static Pods окончательно лишились доступа к Secrets и ConfigMaps Memory QoS и Pod-Level Resource Managers перешли в Beta, а для In-Place Pod Resize появилось вытеснение подов в scheduler И многое другое ❤️ Главный по безопасным кубикам - Алексей Федулаев @int0x80h ❤️ Админ Девелоперович - Георг Гаал @gecube Традиционно обозревают новую версию Kubernetes 1.37 🕖 уже в пятницу в 20:00 Прямая трансляция: https://www.youtube.com/watch?v=YQm63XKoaP8 с ответами на вопросы из чата YouTube При поддержке: @kuber_community @ever_secure @devopsforlove @kubernetes_ru