LMN 7.4 Updates

Server
1

Hallo zusammen,

Dieser Thread soll die neue Packages für LMN 7.4 auflisten.

Gruß

Arnaud

3

Hallo zusammen,

linuxmuster-linbo-gui7 steht jetzt in der Version 7.4.1 mit folgenden Änderungen zur Verfügung:

  • fix: high CPU usage in LinboToolButton (#99), danke an @thoschi für den Fix.

Bei Problemen bitte ein GitHub-Issue öffnen.

VG
Dorian

4

Moin!

Habe die Release Notes entsprechend ergänzt.

VG, Thomas

5

Moin!

linuxmuster-base7 7.4.23 fixt Issue #208. Die Zertifikatserneuerung schlug fehl, wenn der Server nicht server hieß. Dank an @lessi für den ausführlichen Report.

VG, Thomas

6

Moin!

LINBO 7.4.18 ist da

Das Release bringt kleine Verbesserungen bei Torrent und linbo-remote sowie zwei Fehlerbehebungen für den Start ohne Netz.

Neu

  • Torrent: LINBO-Clients im selben Netzsegment finden sich jetzt per Local Peer Discovery, ohne auf den Tracker zu warten. Die Anfrage an den Tracker wiederholt sich alle 5 Minuten (vorher 30). Sync und Image-Verteilung per Torrent beginnen dadurch schneller (#152).
  • linbo-remote: Jeder Lauf schreibt ein eigenes Logfile <Host>_linbo-remote_<Datum>.log und überschreibt nicht mehr das vorige. Zusätzlich landet pro beendetem Lauf ein JSON-Eintrag in linbo-remote_runs.jsonl im LINBO-Log-Verzeichnis (Host, Kommandos, Start, Ende, Rückgabewert). Bei einem Abbruch durch ein Signal steht dort 128 plus Signalnummer. Alte Logs werden aufgeräumt und die Datei rotiert (#179).

Behoben

  • LINBO hängt nicht mehr ohne Netzwerkverbindung (#187): Eine Schnittstelle, die sich nicht hochfahren ließ, blockierte den Start dauerhaft bei „Requesting ip address per dhcp“, dhcpretry half nicht. Solche Schnittstellen werden jetzt übersprungen, die DHCP-Anfrage hat ein Zeitlimit, danach startet LINBO offline.
  • Offline-Start mit GUI aus dem Cache (#189): LINBO findet die Cache-Partition offline jetzt auch auf Platten ohne Einträge in /dev/disk/by-id (zum Beispiel virtio-Platten ohne Seriennummer, manche eMMC- und USB-Datenträger). Vorher endete der Offline-Start im „remote control mode“.

Alle Änderungen: Comparing v7.4.17...v7.4.18 · linuxmuster/linuxmuster-linbo7 · GitHub

(Erstellt mit Hilfe von Claude)

VG, Thomas

7

Hallo @Arnaud !

Das ist für linuxmuster-api relevant (#179).

VG, Thomas

8

Moin!

linuxmuster-linbo7 7.4.19 bringt einen Sicherheitsfix. Bitte spielt es zeitnah ein.

Worum geht es?
Zu jedem Windows-Image legt LINBO eine Datei *.macct ab. Sie enthält die Samba-Passwort-Hashes des Maschinenkontos, mit dem das Image erstellt wurde. Diese Dateien dürfen nur für root lesbar sein.

Seit Version 7.4.5 hat linbo-torrent einen Teil dieser Dateien dem Benutzer nobody übergeben, nämlich die Kopien unter images/<image>/backups/ und unter images/.incoming/. Bei jedem Lauf traf das kurz auch alle anderen .macct-Dateien. Das rsync-Modul [linbo] stellt /srv/linbo als nobody und ohne Anmeldung bereit. Wer den rsync-Dienst des Servers erreichen konnte, konnte diese Dateien also herunterladen.

Betroffen: linuxmuster-linbo7 7.4.5 bis 7.4.18
Nicht betroffen: die 4.3-Reihe

Was ist zu tun?
Beim Upgrade werden alle vorhandenen .macct-Dateien unter /srv/linbo/images automatisch auf root:root mit Modus 600 gesetzt. Mit

find /srv/linbo/images -name '*.macct' ! -user root

könnt ihr das kontrollieren. Der Befehl darf nichts ausgeben.

Wenn ihr nicht ausschließen könnt, dass .macct-Dateien abgerufen wurden, und ihr ganz sicher gehen wollt, könnt ihr das Passwort des Maschinenkontos erneuern. Dazu muss der Muster-Client neu der Domäne beitreten und direkt danach ein Image erstellt und ausgerollt werden.

Ob das für euer System notwendig ist, müsst ihr selbst abwägen.

Details
Release Notes: Release 7.4.19 · linuxmuster/linuxmuster-linbo7 · GitHub
Fix: fix(linbo-torrent): never hand machine account files to nobody by TomlDev · Pull Request #182 · linuxmuster/linuxmuster-linbo7 · GitHub

Props gehen an Tom Lehmann (netzint), der das Problem gefunden und behoben hat.

(Erstellt mit Hilfe von Claude)

VG, Thomas

9

:rocket: Neue Pakete für 7.4: linuxmuster-tools7 7.4.19, linuxmuster-api7 7.4.14, linuxmuster-webui7 7.4.13, linuxmuster-cli7 7.4.11 und sophomorix-samba 7.4.6

Hallo zusammen,

Ich bin endlich dazu gekommen, neue Pakete zu veröffentlichen:

:locked: Sicherheit

Wir empfehlen, zeitnah zu aktualisieren.

  • linuxmuster-webui7: Path Traversal in den LINBO-Routen behoben.
  • linuxmuster-tools7: Das Passwort des Administrators wird nicht mehr als Kommandozeilenargument an smbcquotas übergeben.
  • linuxmuster-tools7: Die .macct-Dateien hochgeladener Images sind nur noch für root lesbar. Danke an TomlDev (linuxmuster-tools#44).

:bug: Behobene Fehler

  • „API nicht verfügbar“ für Benutzer mit Umlauten, ß oder € im Passwort (linuxmuster-api7, linuxmuster-webui7): Solche Passwörter wurden beim Setzen akzeptiert, die Anmeldung an der API scheiterte aber. Die Schulkonsole meldete für diese Benutzer dann dauerhaft, dass die API nicht verfügbar sei. Danke an @Raphael (ask #12399) und TomlDev (linuxmuster-api#47).
  • „API nicht verfügbar“ bei langsamen Antworten (linuxmuster-webui7): Antwortete die API nicht innerhalb von 10 Sekunden, galt sie als nicht verfügbar. Jetzt erscheint eine eigene Meldung: die Aktion hat zu lange gedauert und wurde eventuell trotzdem ausgeführt. Passwortänderungen dürfen 30 Sekunden dauern, die Abfrage der Quotas auf der Startseite hat kein Zeitlimit mehr. Danke an @ebert für die ausführlichen Logs (ask #12399).
  • Fehlermeldungen zum Passwort verschwanden nach wenigen Sekunden (linuxmuster-webui7): Sie bleiben jetzt stehen, bis man sie schließt, damit auch eine lange Meldung zur Passwortrichtlinie lesbar ist. Ebenfalls aus ask #12399.
  • Log-Anzeige: „Server error occured“, sobald das Log Umlaute enthielt (linuxmuster-webui7): Danke an derdennis1012 (linuxmuster-webui7#294).
  • Eine über die API umbenannte Gruppe wurde sichtbar und beitretbar (linuxmuster-api7): PATCH /groups/{group} schreibt nur noch die Eigenschaften, die mitgeschickt werden. Danke an Maddi02 für Meldung und Tests (linuxmuster-api#49).
  • Zugangsdaten eines Geräts außerhalb der default-school ließen sich über die API nicht setzen (linuxmuster-api7): Danke an amolani (linuxmuster-api#42).
  • sophomorix-device wurde mit jeder GPO langsamer (sophomorix-samba): Pro GPO und Lauf ging etwa 1,5 Sekunden für einen Aufruf verloren, dessen Ergebnis nie verwendet wurde. Das spürt man bei jedem Geräteimport. Danke an Pasemesan (sophomorix4#190).
  • Paketaktualisierung langsam, oder fehlgeschlagen, wenn LDAP nicht erreichbar war (linuxmuster-tools7): Die Überprüfung aller Klassengruppen bei jedem Update entfällt, sophomorix hält diese Gruppen inzwischen selbst aktuell. Eine einzelne Klasse lässt sich bei Bedarf so reparieren: lmncli schoolclass sync -c <klasse> -s <schule> --groups.
  • Anlegen der OU Student-Parents schlug fehl (linuxmuster-tools7), wenn die Parents-OU einer Schule noch keine Unter-OU hatte.

:bar_chart: Natürliche Sortierung

Listen werden jetzt so sortiert, wie man sie liest: pc5 vor pc10, und die Klassen als 5a, 10b, dann abitur. Das betrifft Klassen, Projekte, Drucker, Geräte, Räume, LINBO-Gruppen und -Images sowie die Mitglieder einer Sitzung, in der Schulkonsole, in der API und in lmncli.

:desktop_computer: LINBO

  • Gruppennamen dürfen nur Buchstaben, Ziffern, _ und - enthalten, wie es sophomorix-device ohnehin verlangt. Die Schulkonsole lehnt . und + ab, auch beim Duplizieren einer Gruppe.
  • Neue API-Endpunkte, vor allem für edulution: Neustart der Dienste linbo-multicast und linbo-torrent nach einer Änderung an einem Image (POST /linbo/restart-services), sowie Anzeigen und Zurückziehen der Befehle, die auf den nächsten Start eines Rechners warten (/linbo/sync/onboot). Danke an TomlDev (linuxmuster-api#43, #44).
  • initcache wird über die API auch ohne Download-Typ angenommen, und der Änderungs-Feed /linbo/changes verpasst keine Änderung mehr. Danke an TomlDev (linuxmuster-tools#42, #38).

:busts_in_silhouette: Mailadressen

  • sophomorix-samba: Neuer Wert manual für MAIL_LOCAL_PART_SCHEME in der school.conf. Eine vorhandene Mailadresse wird dann nicht mehr überschrieben, neue Benutzer und Benutzer ohne Adresse bekommen ihren Loginnamen. MAIL_LOCAL_PART_MAP und MAILDOMAIN=NONE haben Vorrang. Danke an hermanntoast (sophomorix4#188).

:wrench: Verschiedenes

  • Die vollständige Benutzerliste der API (/users) braucht statt etwa 13 Sekunden weniger als eine Sekunde.
  • lmncli users ls ist schneller.

:warning: Hinweise für Entwickler und API-Nutzer

  • linuxmuster-api7: POST /linbo/hosts/query, GET /linbo/configs und POST /linbo/hosts/scan liefern eine leere Liste statt eines 404, wenn nichts gefunden wird (linuxmuster-api#45).
  • linuxmuster-api7: GET /linbo/changes liefert die Felder deletedHosts und deletedStartConfs nicht mehr, sie waren immer leer. Ein gelöschter Eintrag ist der, der in allHostMacs bzw. allStartConfIds fehlt.
  • linuxmuster-tools7: Devices.check_conf() gibt jetzt ein Dict zurück (valid, counts, findings, report) statt einer Liste oder False. Die Variable COMPUTER_ROLES ist entfernt, SophomorixIni.computerrole ist veraltet, Ersatz: SophomorixIni().computer_roles.roles.

Viele Grüße

Arnaud