v17.2.2 Quincy 发布

dgalloway

这是一个修复两个安全漏洞的热修复版本。我们建议所有用户更新到此版本。

重要变更

  • 使用 OpenStack Manila 导出原生 CephFS 的用户，如果将 Ceph 集群从 Nautilus（或更早版本）升级到更高版本，则容易受到恶意用户的攻击。该漏洞允许用户获得 CephFS 文件系统层次结构的任意部分的访问权限，而不是正确地限制在自己的子卷中。该漏洞是由于 Ceph Manager 中的“volumes”插件中的一个错误造成的。该插件负责管理 Ceph 文件系统子卷，这些子卷由 OpenStack Manila 服务用作向 Manila 用户提供共享的方式。

    通过此热修复，该漏洞已得到修复。担心可能受到影响的管理员应审核集群中的 CephX 密钥，以确保正确的路径限制。

    再次说明，此漏洞仅影响提供原生 CephFS 访问权限给其用户的 OpenStack Manila 集群。

  • 一个回归导致 s3website 请求无法引用存储桶，从而导致 RGW 分段错误。

变更日志

  • mgr/volumes: 修复升级期间的子卷发现 (CVE-2022-0670, Kotresh HR)

  • mgr/volumes: V2 修复 test_subvolume_retain_snapshot_invalid_recreate (CVE-2022-0670, Kotresh HR)

  • qa: 验证升级时的子卷发现 (Kotresh HR)

  • rgw: s3website 在重定向之前检查存储桶 (Seena Fallah)