Админим с Буквой

Для всех слоупоков кто как и я: с 1.14 версии (давно то есть) hashicorp vault поддерживает ACME. т.е. можно в компании поднимать стандартного сертбота и выписывать себе автоматически сертификаты со всем удобством как с LE - автоматическая пролонгация, отслеживание. Меньше человеческой работы - больше времени на ценные улучшения в инфраструктуре.

Live: Kubernetes v1.37: Garhwal Рассмотрим нововведения: Storage Version Migration включён по умолчанию: больше никаких ручных миграций объектов в etcd после смены версии API Pod Certificates и ClusterTrustBundles: короткоживущие сертификаты для подов прямо из kubelet. Прощай, самописный mTLS на костылях? kube-proxy в режиме ipvs отправлен на пенсию. Это первый шаг к удалению, переезд на nftables больше не откладываем kubectl run -f устарел, а Static Pods окончательно лишились доступа к Secrets и ConfigMaps Memory QoS и Pod-Level Resource Managers перешли в Beta, а для In-Place Pod Resize появилось вытеснение подов в scheduler И многое другое ❤️ Главный по безопасным кубикам - Алексей Федулаев @int0x80h ❤️ Админ Девелоперович - Георг Гаал @gecube Традиционно обозревают новую версию Kubernetes 1.37 🕖 уже в пятницу в 20:00 Прямая трансляция: https://www.youtube.com/watch?v=YQm63XKoaP8 с ответами на вопросы из чата YouTube При поддержке: @kuber_community @ever_secure @devopsforlove @kubernetes_ru

Недоступность зон Yandex Cloud Платформа продолжает работать в ограниченном режиме

22 октября в Москве пройдёт Kuber Conf от АОТ — офлайн-конференция по Kubernetes. Кто такие АОТ? — это ассоциация профессионалов в среде облачно-ориентированных технологий, её основали VK Cloud, Yandex Cloud и «Флант». 📍 Когда и где: 22 октября, 11:00–19:00. Регистрация и завтрак с 10:00. Москва, Connect, 5-й Донской проезд, 17. 🎤 Чего послушать: — (Bykva's choice 👍)«Как дать агенту управление кластером вашей инфраструктуры?» — Эдгар Сипки (Sipki & EasyP Tech); — «Одна строчка положила весь парк Kubernetes-кластеров» — Макарий Балашов (Технократия); — «Проект вместо namespace: как сделать мультитенантность в Kubernetes-платформе» — Александр Синичкин (Флант); — «LLM-диагностика инцидентов в Kubernetes и OpenStack» — Сергей Усков (VK Cloud); — «Как мы в MWS Cloud Platform доставляем системный софт в managed K8s» — Татьяна Овчинникова (MWS Cloud Platform). 🗣 Круглые столы – «Kubernetes победил, и это проблема?» — ведёт Дмитрий Евдокимов (Luntry); – «Из-за ИИ нас всех уволят, что будем делать?» — ведёт Никита Ладошкин (Positive Technologies). Остальные доклады — про бизнес-требования и ядро Linux, bare metal в managed Kubernetes, AI-чат по всем системам и отечественную кластерную ОС. При этом программа дополняется и организаторы говорят, что будет 2 трека и 19 докладов. 🎟 И всё это за каких-то 6000₽. В цену входит: завтрак, обед, кофе-брейк, автепати с пивом :) ещё и полезностей мешок отсыпят опытные люди из индустрии. И ловите скидку 1000 руб на билет для подписчиков канала по промокоду bykvaadm_aot 👉 Регистрация по ссылке! Полная программа: https://aot-kuberconf.ru/

дискорд сдался)) https://discord.ru

🚨 GitLab: критическая RCE без аутентификации, CVSS 10.0 8 октября GitLab выпустил Critical Patch Release 19.4.2 / 19.3.4 / 19.2.8 для CE и EE. CVE-2026-97229: integer overflow в компиляторе регулярных выражений CI/CD. Неаутентифицированный атакующий может выполнить произвольный код на сервере GitLab с помощью специально подготовленной регулярки в CI/CD-конфигурации. ▪️ CVSS 3.1: 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) ▪️ Уязвимы: 19.1 – 19.2.7, 19.3 – 19.3.3, 19.4 – 19.4.1 ▪️ Ветки 18.x и 19.0 не затронуты ▪️ Нашёл исследователь joaxcar (HackerOne) Помимо этого, в релизе закрыта ещё 23 уязвимости. Среди них 5 уровня High: XSS в подсветке синтаксиса (8.7), запуск пайплайнов на protected-ветках с ролью Developer (8.5), отравление кэша с утечкой CI-переменных (8.2) и другие. 🔗 Релиз-ноуты: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/ 🔗 CVE: https://www.cve.org/CVERecord?id=CVE-2026-97229

+ Владимир

+ Калуга. Нагнетаю тревожность, напоминаю про резервные копии мульти-дц.

Добрались и до наших дата-центров. Первым пал ДЦ Яндекс в Рязанской области

В этот раз точно пора обновить микротики, теперь 9.8 крит в web-ui, повышение до рута.

Атака доступна без авторизации, одним HTTP-запросом к веб-интерфейсу (WebFig) можно получить root на роутере или уронить его. Причина в integer underflow при разборе тела запроса.

https://www.cve.org/CVERecord?id=CVE-2026-84411 Написано, правда, что версии 7.24.х и выше не аффектит, поэтому если в прошлый раз обновились, типа пронесло.

Второй поток успешно стартанул 🚀 и не смотря на выходные ребята уже погнали проходить CTF и ломать лабы 💪 Мы с командой долго пилили платформу https://edu.eversecure.ru для полноценного запуска лаб per. user и хотим похватстаться цифрами: пробили потолок в 1000 запусков 🥳 Если все еще раздумываешь, то вот твой шанс запрыгнуть в последний вагон 👉 https://edu.eversecure.ru/devsecops (Занятия только начались, ребята еще не ушли далеко) в этом году потоков больше не будет 🙄

Если что, шутка про «стандарты цветного телевидения» PAL и SECAM

Не мог пройти мимо такой шутки:) не для зумеров. Всех с пятничкой!

Автоматизация платформы не отбирает у вас интересные задачи. Она забирает рутину. Deckhouse Platform берёт на себя обновление, масштабирование и поддержку инфраструктуры «из коробки». Освободившееся время остаётся вам — на то, что вам действительно нравится. Обсудите с инженерами Deckhouse, что можно автоматизировать в вашем стеке 👈

Свайбкодил docker с таким статическим systemd чтобы поиграться https://hub.docker.com/r/bykva/systemd262 - контейнер https://github.com/bykvaadm/systemd262 - исходники

А вот это в целом интересно (было бы, если бы вышло ДО облачного коворка у клода)

Вообще есть несколько интересных нововведений: 1) будто бы делаются какие-то шаги в сторону повторения функционала cloud-init (systemd-firstboot, systemd-imds) 2) шаг в сторону работы systemd внутри контейнера

Systemd версии 262 вышел как обновление с новыми возможностями. Среди ключевых изменений: • Встроенный набор unit‑файлов: менеджер теперь содержит базовые unit‑файлы в памяти, которые автоматически загружаются, если на диске их нет. Это обеспечивает корректную работу целей reboot, shutdown, systemd‑poweroff и multi‑user даже в контейнерах без установленных unit‑файлов. • Однофайловый статически связанный бинарник PID 1: теперь можно собрать systemd как единственный исполняемый файл, что удобно для небольших контейнеров, где нет места для множества файлов. • Расширенная поддержка NUMAPolicy=: добавлены значения preferred‑map и weighted‑interleave, позволяющие более гибко управлять распределением процессов по NUMA‑ноду. • LUO‑сессии в сервисах: параметр LUOSession= позволяет автоматически создавать Live Update Orchestrator‑сессии для сервисов, а также улучшена интеграция с LUO. • systemd‑firstboot: добавлен параметр systemd.firstboot=headless, который отключает все интерактивные запросы и позволяет полностью автоматизировать первичную настройку системы. • systemd‑coredump: теперь поддерживает протокол ядра coredump socket, введённый в Linux 6.17, что упрощает сбор дампов памяти. • systemd‑homed: при создании FSCRYPT‑поддерживаемых домашних каталогов по умолчанию применяются политики FSCRYPT v2, повышая безопасность данных. • systemd‑cryptenroll: появился мастер первой регистрации, упрощающий настройку шифрования при первом запуске. • systemd‑vmspawn: опция «--coco=» теперь поддерживает Intel TDX наряду с ранее поддерживаемым AMD SEV‑SNP, расширяя возможности конфиденциальных вычислений. • dm‑clone boot integration: добавлена поддержка клонирования дисков при загрузке, упрощая миграцию и резервное копирование. • AI‑канарейка: в сборку включён механизм обнаружения неотобранного кода, генерируемого ИИ/LLM, чтобы повысить безопасность исходного кода. Все детали изменений можно найти в официальном тексте релиза на GitHub.

Systemd 262 выпущен с новыми функциями Выпущена версия systemd 262, включающая новые возможности и улучшения. Добавлен набор встроенных unit‑файлов, которые используются при отсутствии файлов на диске или в контейнерах, а также возможность собрать systemd в один статически связанный бинарник PID 1. В опцию NUMAPolicy= добавлены значения preferred-map и weighted-interleave, а новые параметры LUOSession= позволяют создавать сессии Live Update Orchestrator. Кроме того, systemd-firstboot поддерживает безинтерактивный режим, systemd-coredump реализует протокол сокет‑коры ядра Linux 6.17, а systemd‑homed по умолчанию использует… #linux #internals #devtools #containers #security OpenNews

🎇Главная идея DevSecOps: безопасность перестаёт тормозить разработку. Вместо проверок «после релиза» всё встроено в пайплайн: код проходит SAST, контейнеры сканируются, инфраструктура проверяется на комплайенс. В итоге релизы выходят быстрее и при этом безопаснее. Этому и учит курс DevSecOps от Академии Codeby на практике: ⏺️9 модулей, 48 занятий, 90% практики ⏺️Стек: Docker, Kubernetes, Terraform, Vault, Ansible, Prometheus ⏺️Финальный экзамен в стиле OSCP — только реальные задачи ⏺️Авторы — практики: внедрение Zero Trust, построение SOC, разработка DevSec-инструментов под Burp Suite Инженеры, которые умеют встраивать безопасность в CI/CD, сегодня в дефиците на стыке ИБ и DevOps — компании поняли, что «сначала сделать, потом чинить» обходится дороже. 👉 Старт курса 5 октября ➡️️️Программа и регистрация Бесплатная консультация — @CodebyAcademyBot