Note di rilascio: traguardo 73

cos-73-11647-656-0

• Correzione della vulnerabilità del kernel Linux CVE-2020-14386 mediante la correzione di un problema di overflow di numeri interi in tpacket_rcv.

cos-73-11647-600-0

• La sorgente del kernel è stata spostata su cos.googlesource.com.
• /var/lib/containerd è stato montato con l'opzione exec.
• È stato corretto l'errore bprm->vma_pages che impediva l'acquisizione di tutte le pagine dello stack.

cos-73-11647-534-0

• Ricostruzione dell'immagine per risolvere un problema di infrastruttura. Nessuna modifica all'immagine.

cos-73-11647-510-0

• Disattivato `accept_ra` su tutte le interfacce per impostazione predefinita.
• Upgrade di OpenSSH alla versione 7.9_p1 per correggere la vulnerabilità CVE-2018-15473.

cos-73-11647-501-0

• È stato eseguito l'upgrade del kernel Linux alla versione 4.14.174.
• È stato eseguito il backporting della patch systemd ba0d56f55 per risolvere un problema che causava la perdita di unità di montaggio.

cos-73-11647-459-0

• È stato corretto il bug relativo al buffer skb TCP vuoto alla fine della coda di scrittura nel kernel.
• È stato eseguito l'upgrade del kernel Linux alla versione 4.14.171.

cos-73-11647-449-0

• Upgrade di runc alla versione 1.0.0-rc10. In questo modo viene risolto il problema CVE-2019-19921.
• È stato eseguito l'upgrade del kernel Linux alla versione 4.14.170.

cos-73-11647-415-0

• È stato risolto il problema di limitazione della quota CFS.
• Aumenta sysctl net.ipv4.tcp_limit_output_bytes a 1048576.
• È stato eseguito l'upgrade del kernel Linux alla versione 4.14.160.

cos-73-11647-348-0

• È stato eseguito l'upgrade del kernel Linux alla versione 4.14.150.
• È stata corretta la creazione non necessaria di due sezioni di test separate (con conseguente generazione di 4 messaggi di log systemd totali + overhead di runtime) per ogni esecuzione di runc.
• È stata corretta una regressione delle prestazioni nello scheduler completamente equo (CFS).

cos-73-11647-338-0

• Risolto un problema in systemd che causava un consumo eccessivo di CPU.
• Risolto un problema in runc che causava un consumo eccessivo di CPU.

cos-73-11647-329-0

• È stato eseguito l'upgrade del kernel Linux alla versione 4.14.145.
• È stato eseguito il backporting di una patch del kernel per garantire che il rapporto tra quota e periodo del cgroup cfs rimanga sempre lo stesso. In questo modo viene risolto un problema di Kubernetes in cui il cgroup del pod potrebbe essere modificato in uno stato incoerente.

cos-73-11647-293-0

• È stato eseguito l'upgrade di containerd alla versione 1.2.8.
• Upgrade del kernel Linux alla versione 4.14.138.
• Sono state eseguite operazioni di backporting delle patch di writeback upstream per risolvere un problema di softlockup.

cos-73-11647-267-0

È stato eseguito l'upgrade del kernel Linux alla versione 4.14.137. In questo modo viene risolto il problema CVE-2019-1125.

cos-73-11647-239-0

• Upgrade di Docker alla versione 18.09.7. In questo modo viene risolto il problema CVE-2018-15664.
• Upgrade di runc alla versione 1.0.0_rc8.
• Upgrade di docker-proxy alla versione 0.8.0_p20190513.

cos-73-11647-231-0

• È stato eseguito l'upgrade di containerd alla versione 1.2.7.
• Kernel aggiornato alla versione v4.14.131.
• È stata corretta la vulnerabilità in app-arch/bzip2 (CVE-2019-12900).
• Risolto un problema introdotto dalle correzioni NFLX-2019-001.

cos-73-11647-217-0

• È stato aggiornato il kernel Linux alla versione 4.14.127 per risolvere le vulnerabilità TCP SACK NFLX-2019-001.

cos-73-11647-214-0

• Kernel aggiornato alla versione v4.14.124.
• È stato eseguito il backport del set di modifiche dell'affinità per napi-tx.

cos-73-11647-192-0

• È stato eseguito l'upgrade di curl alla versione 7.64.1 per correggere la vulnerabilità CVE-2018-16890.
• È stato eseguito l'upgrade di containerd alla versione 1.2.6.
• Imposta il punteggio OOM su -999 per docker.service e containerd.service per migliorare l'affidabilità dei daemon di sistema principali.
• Aggiungi la policy di riavvio in containerd.service e correggi la dipendenza di docker.service da containerd.service per consentire a containerd di ripristinarsi in caso di arresti anomali.
• È stato eseguito il backporting delle modifiche all'affinità per supportare napi-tx in COS.
• Patch upstream selezionata https://patchwork.kernel.org/patch/10951403/ nel kernel per correggere un bug in lockd introdotto dal commit 01b79d20008d "lockd: Show pid of lockd for remote locks" nel kernel Linux v4.14.105.
• Chiavi ruotate utilizzate dall'avvio protetto UEFI per firmare e verificare il percorso di avvio UEFI.

cos-73-11647-182-0

• È stato unito il kernel stabile di Linux "v4.14.119" per risolvere le vulnerabilità di Microarchitectural Data Sampling (MDS) (CVE-2018-12126, CVE-2018-12127, CVE-2018-12130, CVE-2019-11091).
• È stato mitigato un problema di blocco del montaggio nel kernel Linux.

cos-73-11647-163-0

• Imposta LimitNOFILE su 1048576 in containerd.service per risolvere un problema per cui il limite del descrittore di file non veniva applicato correttamente a containerd.

cos-73-11647-121-0

• Strumento di perforazione incluso nell'immagine.
• È stato corretto un bug per cui dockerd potrebbe avviare containerd anche se esiste containerd.service.
• È stato risolto un problema per cui Docker non conservava gli UID/GID del processo init su exec.

cos-73-11647-112-0 (rispetto a Milestone 69)

Nuove funzionalità

• Aggiunto il supporto per la raccolta dei dump degli arresti anomali della memoria del kernel.
• Aggiunto il supporto per RAID e LVM.
• È stato aggiunto il supporto per IPv6.
• È stato aggiunto il supporto per iscsi e multipath nel kernel.
• Aggiunto il supporto per la firma dei moduli del kernel.
• Aggiornamenti automatici abilitati sulle VM Shielded che non sono mai state avviate in modalità di avvio protetto. L'aggiornamento automatico è ancora disattivato sulle VM schermate che sono state avviate in precedenza in modalità Avvio protetto.
• È stata disattivata l'opzione di configurazione CONFIG_DEVMEM nel kernel per limitare l'accesso privilegiato alla memoria di sistema.
• È stato aggiunto il comportamento per la registrazione di ulteriori informazioni di debug nella console seriale durante l'avvio.

Correzioni di bug

• È stato risolto un problema osservato nei probe di attività di Kubernetes.
• È stato configurato docker.service per riavviare sempre Docker dopo 10 secondi.
• È stato risolto un problema a causa del quale una race condition tra Docker e containerd comportava un errore di ripristino live di Docker.
• Aumento di fs.inotify.max_user_instances a 1024.
• Configurato containerd per l'esecuzione come servizio systemd autonomo.

Aggiornamenti dei pacchetti

• È stato eseguito l'upgrade di kubelet integrato alla versione 1.13.3.
• È stato eseguito l'upgrade di containerd alla versione 1.2.5.
• Upgrade di openssl alla versione 1.0.2q.
• È stato eseguito l'upgrade di Docker alla versione 18.09.3.
• È stato installato il pacchetto pigz per download più rapidi delle immagini Docker.
• Hai installato il pacchetto keyutils.
• Ha installato il pacchetto sosreport.