Админим с Буквой

Засим, напоминаю :)

Немного запоздал с новостью, но тут интересно другое 15 октября появилась публичная информация о KVM escape и патчи ядра Linux. Авторы не предоставили публичный PoC опасаясь эксплуатации в дикой природе уже 17го числа был взломан FirstVDS

Что еще раз подтверждает, что с современным ИИ эксплоит и PoC не нужен. Информации из анализа изменений достаточно для обнаружения ошибки и написания полноценного эксплоита в кратчайшие сроки

👀@ever_secure | 💪 Обучение | 💳Поддержать

PwnEscape (CVE-2026-99999) — побег из VM на хост через сетевой стек Linux Считается что это ошибка в IPv4-стеке ядра хоста. Гость передаёт через virtio-net метаданные для подсчёта контрольной суммы, хост им доверяет и перезаписывает уже проверенный заголовок IPv4 (TOCTOU). Итог: утечка памяти ядра хоста, его падение или выполнение кода от root. Баг живёт в ядре с 2008 года. Под ударом хосты виртуализации с чужими гостями: облака, VPS, песочницы на KVM/Firecracker. Патчить нужно хост, обновление гостя не поможет. CVSS: 9.3 (Linux CNA, NVD), 8.8 у Red Hat. Патчи: upstream (коммит 6785011f8b16, стабильные ветки от 5.10 до 7.2), Debian 12/13, AlmaLinux 8–10 (пока в testing). У RHEL и Ubuntu фикса ещё нет. Обходного пути нет — только обновление ядра и перезагрузка.

Для всех слоупоков кто как и я: с 1.14 версии (давно то есть) hashicorp vault поддерживает ACME. т.е. можно в компании поднимать стандартного сертбота и выписывать себе автоматически сертификаты со всем удобством как с LE - автоматическая пролонгация, отслеживание. Меньше человеческой работы - больше времени на ценные улучшения в инфраструктуре.

Live: Kubernetes v1.37: Garhwal Рассмотрим нововведения: Storage Version Migration включён по умолчанию: больше никаких ручных миграций объектов в etcd после смены версии API Pod Certificates и ClusterTrustBundles: короткоживущие сертификаты для подов прямо из kubelet. Прощай, самописный mTLS на костылях? kube-proxy в режиме ipvs отправлен на пенсию. Это первый шаг к удалению, переезд на nftables больше не откладываем kubectl run -f устарел, а Static Pods окончательно лишились доступа к Secrets и ConfigMaps Memory QoS и Pod-Level Resource Managers перешли в Beta, а для In-Place Pod Resize появилось вытеснение подов в scheduler И многое другое ❤️ Главный по безопасным кубикам - Алексей Федулаев @int0x80h ❤️ Админ Девелоперович - Георг Гаал @gecube Традиционно обозревают новую версию Kubernetes 1.37 🕖 уже в пятницу в 20:00 Прямая трансляция: https://www.youtube.com/watch?v=YQm63XKoaP8 с ответами на вопросы из чата YouTube При поддержке: @kuber_community @ever_secure @devopsforlove @kubernetes_ru

Недоступность зон Yandex Cloud Платформа продолжает работать в ограниченном режиме

22 октября в Москве пройдёт Kuber Conf от АОТ — офлайн-конференция по Kubernetes. Кто такие АОТ? — это ассоциация профессионалов в среде облачно-ориентированных технологий, её основали VK Cloud, Yandex Cloud и «Флант». 📍 Когда и где: 22 октября, 11:00–19:00. Регистрация и завтрак с 10:00. Москва, Connect, 5-й Донской проезд, 17. 🎤 Чего послушать: — (Bykva's choice 👍)«Как дать агенту управление кластером вашей инфраструктуры?» — Эдгар Сипки (Sipki & EasyP Tech); — «Одна строчка положила весь парк Kubernetes-кластеров» — Макарий Балашов (Технократия); — «Проект вместо namespace: как сделать мультитенантность в Kubernetes-платформе» — Александр Синичкин (Флант); — «LLM-диагностика инцидентов в Kubernetes и OpenStack» — Сергей Усков (VK Cloud); — «Как мы в MWS Cloud Platform доставляем системный софт в managed K8s» — Татьяна Овчинникова (MWS Cloud Platform). 🗣 Круглые столы – «Kubernetes победил, и это проблема?» — ведёт Дмитрий Евдокимов (Luntry); – «Из-за ИИ нас всех уволят, что будем делать?» — ведёт Никита Ладошкин (Positive Technologies). Остальные доклады — про бизнес-требования и ядро Linux, bare metal в managed Kubernetes, AI-чат по всем системам и отечественную кластерную ОС. При этом программа дополняется и организаторы говорят, что будет 2 трека и 19 докладов. 🎟 И всё это за каких-то 6000₽. В цену входит: завтрак, обед, кофе-брейк, автепати с пивом :) ещё и полезностей мешок отсыпят опытные люди из индустрии. И ловите скидку 1000 руб на билет для подписчиков канала по промокоду bykvaadm_aot 👉 Регистрация по ссылке! Полная программа: https://aot-kuberconf.ru/

дискорд сдался)) https://discord.ru

🚨 GitLab: критическая RCE без аутентификации, CVSS 10.0 8 октября GitLab выпустил Critical Patch Release 19.4.2 / 19.3.4 / 19.2.8 для CE и EE. CVE-2026-97229: integer overflow в компиляторе регулярных выражений CI/CD. Неаутентифицированный атакующий может выполнить произвольный код на сервере GitLab с помощью специально подготовленной регулярки в CI/CD-конфигурации. ▪️ CVSS 3.1: 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) ▪️ Уязвимы: 19.1 – 19.2.7, 19.3 – 19.3.3, 19.4 – 19.4.1 ▪️ Ветки 18.x и 19.0 не затронуты ▪️ Нашёл исследователь joaxcar (HackerOne) Помимо этого, в релизе закрыта ещё 23 уязвимости. Среди них 5 уровня High: XSS в подсветке синтаксиса (8.7), запуск пайплайнов на protected-ветках с ролью Developer (8.5), отравление кэша с утечкой CI-переменных (8.2) и другие. 🔗 Релиз-ноуты: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/ 🔗 CVE: https://www.cve.org/CVERecord?id=CVE-2026-97229

+ Владимир

+ Калуга. Нагнетаю тревожность, напоминаю про резервные копии мульти-дц.

Добрались и до наших дата-центров. Первым пал ДЦ Яндекс в Рязанской области

В этот раз точно пора обновить микротики, теперь 9.8 крит в web-ui, повышение до рута.

Атака доступна без авторизации, одним HTTP-запросом к веб-интерфейсу (WebFig) можно получить root на роутере или уронить его. Причина в integer underflow при разборе тела запроса.

https://www.cve.org/CVERecord?id=CVE-2026-84411 Написано, правда, что версии 7.24.х и выше не аффектит, поэтому если в прошлый раз обновились, типа пронесло.

Второй поток успешно стартанул 🚀 и не смотря на выходные ребята уже погнали проходить CTF и ломать лабы 💪 Мы с командой долго пилили платформу https://edu.eversecure.ru для полноценного запуска лаб per. user и хотим похватстаться цифрами: пробили потолок в 1000 запусков 🥳 Если все еще раздумываешь, то вот твой шанс запрыгнуть в последний вагон 👉 https://edu.eversecure.ru/devsecops (Занятия только начались, ребята еще не ушли далеко) в этом году потоков больше не будет 🙄

Если что, шутка про «стандарты цветного телевидения» PAL и SECAM

Не мог пройти мимо такой шутки:) не для зумеров. Всех с пятничкой!

Автоматизация платформы не отбирает у вас интересные задачи. Она забирает рутину. Deckhouse Platform берёт на себя обновление, масштабирование и поддержку инфраструктуры «из коробки». Освободившееся время остаётся вам — на то, что вам действительно нравится. Обсудите с инженерами Deckhouse, что можно автоматизировать в вашем стеке 👈

Свайбкодил docker с таким статическим systemd чтобы поиграться https://hub.docker.com/r/bykva/systemd262 - контейнер https://github.com/bykvaadm/systemd262 - исходники

А вот это в целом интересно (было бы, если бы вышло ДО облачного коворка у клода)