Notas de versión: Milestone 73

cos-73-11647-656-0

• Se corrigió la vulnerabilidad CVE-2020-14386 del kernel de Linux solucionando un problema de desbordamiento de números enteros en tpacket_rcv.

cos-73-11647-600-0

• Se trasladó la fuente del kernel a cos.googlesource.com.
• Se activó /var/lib/containerd con la opción exec.
• Se corrigió el problema por el que bprm->vma_pages impedía capturar todas las páginas de la pila.

cos-73-11647-534-0

• Se recompiló la imagen para solucionar un problema de infraestructura. No se realizaron cambios en las imágenes.

cos-73-11647-510-0

• Se inhabilitó `accept_ra` en todas las interfaces de forma predeterminada.
• Se actualizó OpenSSH a 7.9_p1 para corregir CVE-2018-15473.

cos-73-11647-501-0

• Se actualizó el kernel de Linux a la versión 4.14.174.
• Se adaptó el parche ba0d56f55 de systemd para solucionar un problema que provocaba la filtración de unidades de montaje.

cos-73-11647-459-0

• Se corrigió un error de skb vacío de TCP en la cola de escritura del kernel.
• Se actualizó el kernel de Linux a la versión 4.14.171.

cos-73-11647-449-0

• Se actualizó runc a la versión 1.0.0-rc10. Se resolvió la CVE-2019-19921.
• Se actualizó el kernel de Linux a la versión 4.14.170.

cos-73-11647-415-0

• Se corrigió el problema de limitación de cuota de CFS.
• Aumenta sysctl net.ipv4.tcp_limit_output_bytes a 1048576.
• Se actualizó el kernel de Linux a la versión 4.14.160.

cos-73-11647-348-0

• Se actualizó el kernel de Linux a la versión 4.14.150.
• Se corrigió la creación innecesaria de dos segmentos de prueba separados (lo que generaba 4 mensajes de registro de systemd en total y una sobrecarga de tiempo de ejecución) para cada ejecución de runc.
• Se corrigió una regresión de rendimiento en el programador completamente justo (CFS).

cos-73-11647-338-0

• Se corrigió un problema en systemd que generaba un consumo innecesario de CPU.
• Se corrigió un problema en runc que provocaba un consumo innecesario de CPU.

cos-73-11647-329-0

• Se actualizó el kernel de Linux a la versión 4.14.145.
• Se realizó un port a una versión anterior de un parche del kernel para garantizar que la relación entre la cuota y el período del cgroup de CFS siempre sea la misma. Esto soluciona un problema de Kubernetes en el que el cgroup del pod podía cambiar a un estado incoherente.

cos-73-11647-293-0

• Se actualizó containerd a la versión 1.2.8.
• Se actualizó el kernel de Linux a la versión 4.14.138.
• Se portaron parches de escritura ascendentes para corregir un problema de bloqueo temporal.

cos-73-11647-267-0

Se actualizó el kernel de Linux a la versión 4.14.137. Esto resuelve la CVE-2019-1125.

cos-73-11647-239-0

• Se actualizó Docker a la versión 18.09.7. Esto resuelve la CVE-2018-15664.
• Se actualizó runc a la versión 1.0.0_rc8.
• Se actualizó docker-proxy a la versión 0.8.0_p20190513.

cos-73-11647-231-0

• Se actualizó containerd a la versión 1.2.7.
• Se actualizó el kernel a la versión v4.14.131.
• Se corrigió la vulnerabilidad en app-arch/bzip2 (CVE-2019-12900).
• Se corrigió un problema que se introdujo con las correcciones de NFLX-2019-001.

cos-73-11647-217-0

• Se actualizó el kernel de Linux a la versión 4.14.127 para resolver las vulnerabilidades de TCP SACK de NFLX-2019-001.

cos-73-11647-214-0

• Se actualizó el kernel a la versión v4.14.124.
• Se realizó un port a versiones anteriores del conjunto de cambios de afinidad para napi-tx.

cos-73-11647-192-0

• Se actualizó curl a la versión 7.64.1 para corregir CVE-2018-16890.
• Se actualizó containerd a la versión 1.2.6.
• Se estableció la puntuación de OOM en -999 para docker.service y containerd.service con el objetivo de mejorar la confiabilidad de los daemons del sistema principal.
• Se agregó la política de reinicio en containerd.service y se corrigió la dependencia de docker.service en containerd.service para permitir que containerd se recupere de fallas.
• Se portaron cambios de afinidad para admitir napi-tx en COS.
• Se seleccionó el parche upstream https://patchwork.kernel.org/patch/10951403/ en el kernel para corregir un error en lockd introducido por la confirmación 01b79d20008d "lockd: Show pid of lockd for remote locks" en el kernel de Linux v4.14.105.
• Son las claves rotadas que usa el arranque seguro de UEFI para firmar y verificar la ruta de arranque de UEFI.

cos-73-11647-182-0

• Se fusionó el kernel estable de Linux "v4.14.119" para resolver las vulnerabilidades de Microarchitectural Data Sampling (MDS) (CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091).
• Se mitigó un problema de bloqueo de la conexión en el kernel de Linux.

cos-73-11647-163-0

• Se estableció LimitNOFILE en 1048576 en containerd.service para corregir un problema por el que el límite de descriptores de archivos no se aplicaba correctamente a containerd.

cos-73-11647-121-0

• Se incluye la herramienta de rendimiento en la imagen.
• Se corrigió un error por el que dockerd podía iniciar containerd incluso si existía containerd.service.
• Se corrigió un problema por el que Docker no conservaba los UID/GID del proceso init en exec.

cos-73-11647-112-0 (en comparación con el hito 69)

Funciones nuevas

• Se agregó compatibilidad para recopilar volcados de memoria del kernel en caso de fallas.
• Se agregó compatibilidad con RAID y LVM.
• Se agregó compatibilidad con IPv6.
• Se agregó compatibilidad con iscsi y rutas múltiples en el kernel.
• Se agregó compatibilidad con la firma de módulos del kernel.
• Se habilitaron las actualizaciones automáticas en las VMs protegidas que nunca se iniciaron en modo de inicio seguro. La actualización automática sigue inhabilitada en las VMs protegidas que se iniciaron anteriormente en el modo de inicio seguro.
• Se inhabilitó la opción de configuración CONFIG_DEVMEM en el kernel para restringir el acceso privilegiado a la memoria del sistema.
• Se agregó comportamiento para registrar más información de depuración en la consola en serie durante el inicio.

Correcciones de errores

• Se corrigió un problema observado en los sondeos de estado en funcionamiento de Kubernetes.
• Se configuró docker.service para que siempre reinicie Docker después de 10 segundos.
• Se corrigió un problema por el que una condición de carrera entre Docker y containerd provocaba una falla en la restauración en vivo de Docker.
• Se aumentó fs.inotify.max_user_instances a 1024.
• Se configuró containerd para que se ejecute como un servicio systemd independiente.

Actualizaciones de paquetes

• Se actualizó el kubelet integrado a la versión 1.13.3.
• Se actualizó containerd a la versión 1.2.5.
• Se actualizó openssl a la versión 1.0.2q.
• Se actualizó Docker a la versión 18.09.3.
• Se instaló el paquete pigz para acelerar las descargas de imágenes de Docker.
• Se instaló el paquete keyutils.
• Se instaló el paquete sosreport.