Container-Optimized OS 版本说明：里程碑 77

cos-77-12371-1109-0

• 修复了 Linux 内核中的 CVE-2020-29660。
• 修复了 Linux 内核中的 CVE-2020-29661。

cos-77-12371-1105-0

• 修复了 containerd 中的 CVE-2020-15257。

cos-77-12371-1096-0

• 修复了 CVE-2020-14356。

cos-77-12371-1088-0

• 重新添加了在 cos-77-12371-1072-0 中移除的 PPP 可加载模块。
• 将 Docker 的“registry-mirrors”配置移至 dockerd 命令行，以解决 Kubernetes 集群配置错误。

cos-77-12371-1086-0

• 将 Docker 的“registry-mirrors”选项的配置从 dockerd 命令行移至 /etc/docker/daemon.json。这应该允许用户配置自定义注册表镜像，这在应对最近的 Docker Hub 免费层级变更时非常有用。
• 修复了 containerd 中的 CVE-2020-15157。

cos-77-12371-1079-0

• 通过修复 tpacket_rcv 中的整数溢出问题，修复了 Linux 内核漏洞 CVE-2020-14386。

cos-77-12371-1073-0

• 在 systemd 中启用了 utmp，以允许创建 utmp 文件。

cos-77-12371-1072-0

• 停用了 CONFIG_PPP 以缓解 Linux 内核 CVE-2020-14416。
• 修复了 grub 中的 CVE-2020-15705。

cos-77-12371-1064-0

• 移除了指标守护程序，以解决在某些情况下该守护程序会定期导致 CPU 使用率飙升的问题。

cos-77-12371-326-0

• 将 rsync 重新添加到映像中，该映像已在 cos-dev-77-12293-0-0 中移除。
• 使用 exec 选项装载 /var/lib/containerd。
• 将内核源代码移至 cos.googlesource.com。
• 修复了 CVE-2019-9169。

cos-77-12371-296-0

• 更新了工具箱基础容器映像，以包含安全补丁。

cos-77-12371-274-0

• 修复了一些操作系统登录 CVE：CVE-2020-8903、CVE-2020-8907、CVE-2020-8933。

cos-77-12371-273-0

• 修复了 Stackdriver Monitoring 代理的一个 bug，该 bug 会导致并非所有已挂载的磁盘分区都报告了使用情况。

cos-77-12371-251-0

• 修复了 eBPF 程序可能会导致软死锁的内核 bug。

cos-77-12371-233-0

• 默认停用了所有接口上的 `accept_ra`。

cos-77-12371-227-0

• 将 Linux 内核升级到了 v4.19.112。
• 向后移植了 systemd 补丁 ba0d56f55，以解决导致装载单元泄漏的问题。

cos-77-12371-208-0

• 启用了 NETFILTER_XT_MATCH_SOCKET。
• 修复了链路抖动后 DHCP 未启动的 bug。
• 移除了 /etc/ 的大小限制，以修复因大量插件而导致的集群创建失败问题。
• 将 Linux 内核升级到了 v4.19.109。

cos-77-12371-183-0

• 将 Linux 内核升级到了 v4.19.104。
• 修复了内核中写入队列尾部的 TCP 空 skb bug。

cos-77-12371-175-0

• 在 Linux 内核中启用了一些 QoS 和公平排队选项。
• 将 Linux 内核升级到了 v4.19.102。
• 将 runc 升级到了 1.0.0-rc10。此版本解决了 CVE-2019-19921。

cos-77-12371-141-0

• 反向移植了针对 Linux 内核 CVE-2019-19072 的修复。
• 修复了 CFS 配额限制问题。
• 将 Linux 内核升级到了 v4.19.91。

cos-77-12371-114-0

• 将 sysctl net.ipv4.tcp_limit_output_bytes 增加到 1048576。
• 修复了在 containerd 上为每个 exec 生成 8 个 runc 状态进程的问题。这导致了较高的 CPU 利用率。
• 修复了每次运行 runc 执行时都会不必要地创建两个单独的测试 slice（总共导致 4 条 systemd 日志消息 + 运行时开销）的问题。
• 修复了 runc 中导致不必要的 CPU 消耗的问题。 将 Linux 内核升级到了 v4.19.80。
• 修复了完全公平调度程序 (CFS) 中的性能回归问题。

cos-77-12371-89-0

• 将 Linux 内核升级到了 4.19.76。
• 反向移植了一个内核补丁，以确保 cfs cgroup 配额/周期比始终保持不变。此问题修复了 Kubernetes 中 pod cgroup 可能变为不一致状态的问题。
• 向后移植了一个内核补丁，以修复 wbt 扩缩中的性能衰退问题。

cos-77-12371-76-0（与里程碑版 73 相比）

新功能

• 默认启用安全强化型虚拟机。安全启动默认处于停用状态。
• 在 systemd 中启用了 cgroup v2 混合模式。
• 添加了对 virtio balloon 驱动程序的支持。
• 添加了 node-problem-detector 软件包。
• 添加了 conntrack-tools 软件包。
• 添加了 xfsprogs 软件包。

软件包更新

• 将 systemd 升级到了版本 239。
• 将 Linux 内核升级到了版本 4.19。
• 将 Docker 升级到了版本 19.03。
• 将 Kubelet 升级到版本 1.15。
• 将 compute-image-packages 升级到了版本 20190304。
• 将 openssl 升级到了版本 1.0.2r。
• 将 openssh 升级到了版本 7.9p1。
• 将内核编译器从 gcc 更改为 clang。