Notes de version : Jalon 73

cos-73-11647-656-0

• Correction de la faille CVE-2020-14386 du noyau Linux en corrigeant un problème de dépassement d'entier dans tpacket_rcv.

cos-73-11647-600-0

• La source du noyau a été déplacée vers cos.googlesource.com.
• /var/lib/containerd est installé avec l'option exec.
• Correction d'un problème lié à bprm->vma_pages qui empêchait la capture de toutes les pages de la pile.

cos-73-11647-534-0

• Recompilation de l'image pour résoudre un problème d'infrastructure. Aucune modification des images.

cos-73-11647-510-0

• Désactivation de `accept_ra` sur toutes les interfaces par défaut.
• Mise à niveau d'OpenSSH vers la version 7.9_p1 pour corriger CVE-2018-15473.

cos-73-11647-501-0

• Mise à niveau du noyau Linux vers la version 4.14.174.
• Rétroportage du correctif systemd ba0d56f55 pour résoudre un problème qui entraînait la fuite d'unités de montage.

cos-73-11647-459-0

• Correction du bug lié à l'empty skb TCP à la fin de la file d'écriture dans le noyau.
• Mise à niveau du noyau Linux vers la version v4.14.171.

cos-73-11647-449-0

• Mise à niveau de runc vers la version 1.0.0-rc10. Cette modification corrige CVE-2019-19921.
• Mise à niveau du noyau Linux vers la version 4.14.170.

cos-73-11647-415-0

• Correction du problème de limitation du quota CFS.
• Augmentez la valeur de sysctl net.ipv4.tcp_limit_output_bytes à 1048576.
• Mise à niveau du noyau Linux vers la version 4.14.160.

cos-73-11647-348-0

• Mise à niveau du noyau Linux vers la version v4.14.150.
• Correction de la création inutile de deux tranches de test distinctes (entraînant un total de quatre messages de journal systemd et une surcharge d'exécution) pour chaque exécution runc.
• Correction d'une régression des performances dans le planificateur complètement équitable (CFS).

cos-73-11647-338-0

• Correction d'un problème dans systemd qui entraînait une consommation inutile du processeur.
• Correction d'un problème dans runc qui entraînait une consommation inutile de processeur.

cos-73-11647-329-0

• Mise à niveau du noyau Linux vers la version 4.14.145.
• Correction d'un patch du noyau pour s'assurer que le ratio quota/période du cgroup cfs reste toujours le même. Cela résout un problème Kubernetes où le cgroup de pod pouvait passer à un état incohérent.

cos-73-11647-293-0

• Mise à niveau de containerd vers la version 1.2.8.
• Mise à niveau du noyau Linux vers la version 4.14.138.
• Rétroportage des correctifs de réécriture en amont pour résoudre un problème de blocage logiciel.

cos-73-11647-267-0

Mise à niveau du noyau Linux vers la version v4.14.137. Cette modification corrige CVE-2019-1125.

cos-73-11647-239-0

• Mise à niveau de Docker vers la version 18.09.7. Cette modification corrige CVE-2018-15664.
• Mise à niveau de runc vers la version 1.0.0_rc8.
• Mise à niveau de docker-proxy vers la version 0.8.0_p20190513.

cos-73-11647-231-0

• Mise à niveau de containerd vers la version 1.2.7.
• Mise à jour du noyau vers la version v4.14.131.
• Correction d'une faille dans app-arch/bzip2 (CVE-2019-12900).
• Correction d'un problème introduit par les correctifs NFLX-2019-001.

cos-73-11647-217-0

• Mise à jour du noyau Linux vers la version 4.14.127 pour résoudre les failles TCP SACK NFLX-2019-001.

cos-73-11647-214-0

• Mise à jour du noyau vers la version v4.14.124.
• Ensemble de modifications de l'affinité rétroporté pour napi-tx.

cos-73-11647-192-0

• Mise à niveau de curl vers la version 7.64.1 pour corriger CVE-2018-16890.
• Mise à niveau de containerd vers la version 1.2.6.
• Définissez le score OOM sur -999 pour docker.service et containerd.service afin d'améliorer la fiabilité des principaux daemons système.
• Ajoutez une règle de redémarrage dans containerd.service et corrigez la dépendance de docker.service sur containerd.service pour permettre à containerd de se remettre des plantages.
• Les modifications de l'affinité ont été rétroportées pour prendre en charge napi-tx dans COS.
• Correctif en amont sélectionné https://patchwork.kernel.org/patch/10951403/ dans le noyau pour corriger un bug dans lockd introduit par le commit 01b79d20008d "lockd: Show pid of lockd for remote locks" dans le noyau Linux v4.14.105.
• Clés permutées utilisées par le démarrage sécurisé UEFI pour signer et valider le chemin de démarrage UEFI.

cos-73-11647-182-0

• Intégration du noyau stable Linux v4.14.119 pour résoudre les failles d'échantillonnage des données microarchitecturales (MDS, Microarchitectural Data Sampling) (CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091).
• Atténuation d'un problème de blocage du montage dans le noyau Linux.

cos-73-11647-163-0

• Définissez LimitNOFILE sur 1048576 dans containerd.service pour résoudre un problème où la limite de descripteurs de fichiers n'était pas correctement appliquée à containerd.

cos-73-11647-121-0

• Outil de performances inclus dans l'image.
• Correction d'un bug qui pouvait entraîner le démarrage de containerd par dockerd même si containerd.service existait.
• Correction d'un problème où Docker ne conservait pas les UID/GID du processus d'initialisation lors de l'exécution.

cos-73-11647-112-0 (par rapport au jalon 69)

Nouvelles fonctionnalités

• Ajout de la prise en charge de la collecte des vidages sur erreur de la mémoire du noyau.
• Ajout de la compatibilité avec RAID et LVM.
• Ajout de la compatibilité avec IPv6.
• Ajout de la prise en charge d'iscsi et de multipath dans le noyau.
• Ajout de la prise en charge de la signature des modules du noyau.
• Mise à jour automatique activée sur les VM protégées qui n'ont jamais démarré en mode démarrage sécurisé. La mise à jour automatique reste désactivée sur les VM protégées qui ont déjà démarré en mode démarrage sécurisé.
• L'option de configuration CONFIG_DEVMEM a été désactivée dans le noyau pour limiter l'accès privilégié à la mémoire système.
• Ajout d'un comportement permettant de consigner davantage d'informations de débogage sur la console série lors du démarrage.

Corrections de bugs

• Correction d'un problème observé dans les vérifications d'activité Kubernetes.
• Configuration de docker.service pour systématiquement redémarrer Docker au bout de 10 secondes.
• Correction d'un problème où une condition de concurrence entre Docker et containerd entraînait l'échec de la restauration en direct de Docker.
• Augmentation de fs.inotify.max_user_instances à 1 024.
• Configurer containerd pour qu'il s'exécute en tant que service systemd autonome.

Mises à jour des packages

• Mise à niveau de Kubelet intégré vers la version v1.13.3.
• Mise à niveau de containerd vers la version 1.2.5.
• Mise à niveau d'openssl vers la version 1.0.2q.
• Docker a été mis à niveau vers la version 18.09.3.
• Le package pigz a été installé pour accélérer le téléchargement des images Docker.
• Vous avez installé le package keyutils.
• Vous avez installé le package sosreport.