2.2. Migration Toolkit for Containers 1.7 リリースノート

CVE-2023-45290: Golang: net/http: Request.ParseMultipartForm メソッドでのメモリー不足

net/http Golang 標準ライブラリーパッケージに欠陥が見つかり、MTC の以前のバージョンに影響します。multipart フォームを解析する場合、明示的に Request.ParseMultipartForm を使用するか、または暗黙的に Request.FormValue、Request.PostFormValue、または Request.FormFile メソッドを使用するかにかかわらず、解析されたフォームの合計サイズの制限は、単一のフォーム行の読み取り中に消費されるメモリーには適用されません。これにより、長い行を含む悪意のある入力により、任意の大量のメモリーが割り当てられ、メモリー不足につながる可能性があります。

CVE-2024-24783: Golang: crypto/x509: 未知の公開鍵アルゴリズムを持つ証明書の検証パニック

crypto/x509 Golang 標準ライブラリーパッケージに欠陥が見つかり、MTC の以前のバージョンに影響します。不明な公開鍵アルゴリズムを持つ証明書を含む証明書チェーンを検証すると、Certificate.Verify がパニックになります。これは、Config.ClientAuth を VerifyClientCertIfGiven または RequireAndVerifyClientCert に設定するすべての crypto/tls クライアントおよびサーバーに影響します。デフォルトの動作では、TLS サーバーはクライアント証明書を検証しません。

CVE-2024-24784: Golang: net/mail: 表示名内のコメントが正しく処理されない

net/mail Golang 標準ライブラリーパッケージに欠陥が見つかり、MTC の以前のバージョンに影響します。ParseAddressList 関数は、コメント、括弧内のテキスト、および表示名を正しく処理しません。これは準拠するアドレスパーサーと整合性が取れていないことが原因で、異なるパーサーを使用するプログラムによって異なる信頼の決定が行われる可能性があります。

CVE-2024-24785: Golang: html/template: MarshalJSON メソッドから返されるエラーにより、テンプレートのエスケープが壊れる可能性がある

html/template Golang 標準ライブラリーパッケージに不具合が見つかり、MTC の以前のバージョンに影響します。 MarshalJSON メソッドから返されるエラーにユーザーが制御するデータが含まれている場合、そのエラーを使用して html/template パッケージのコンテキスト自動エスケープ動作が中断され、後続のアクションにより、予期しないコンテンツがテンプレートに挿入される可能性があります。

CVE-2024-29180: webpack-dev-middleware: URL 検証の欠如によりファイル漏洩が発生する可能性がある

webpack-dev-middleware パッケージに不具合が見つかりました。これは、MTC の以前のバージョンに影響します。この不具合は、ローカルファイルを返す前に提供された URL アドレスを十分に検証できないため、攻撃者が URL を作成して開発者のマシンから任意のローカルファイルを返すことができる可能性があります。

CVE-2024-30255: envoy: CONTINUATION フレームフラッドによる HTTP/2 CPU 枯渇

envoy プロキシーが HTTP/2 コーデックを実装する方法に不具合が見つかりました。これは、MTC の以前のバージョンに影響します。envoy のヘッダーマップ制限を超えた後でも、単一のストリーム内で送信できる CONTINUATION フレームの数には十分な制限がありません。この不具合により、認証されていないリモート攻撃者が脆弱なサーバーにパケットを送信できる可能性があります。これらのパケットはコンピュートリソースを消費し、サービス拒否 (DoS) を引き起こす可能性があります。

ソースクラスター上の Rsync Pod が Error 状態に移行するため、ボリュームの直接移行が失敗する

永続ボリューム要求 (PVC) を使用してアプリケーションを移行すると、Stage 移行操作は警告付きで成功しますが、直接ボリューム移行 (DVM) は失敗し、ソース namespace の rsync Pod が error 状態になります。(BZ#2256141)

競合状態が作成後に一時的に消去される

競合エラーメッセージを返す新しい状態移行プランを作成すると、エラーメッセージは表示された後すぐにクリアされます。(BZ#2144299)

クラスター内に異なるプロバイダータイプの Volume Snapshot Locations の場所が複数設定されている場合は、移行が失敗します。

クラスター内に異なるプロバイダータイプの Volume Snapshot Locations (VSL) が複数あるにもかかわらず、いずれもデフォルトの VSL として設定していない場合は、Velero で検証エラーが発生し、移行操作が失敗します。(BZ#2180565)

CVE-2024-24786: Golang の protobuf モジュールに不具合が発見され、アンマーシャル関数が無限ループに入る可能性がある

protojson.Unmarshal 関数に不具合が発見されました。これにより、特定の形式の無効な JSON メッセージをアンマーシャリングするときに関数が無限ループに入る可能性があります。この状態は、google.protobuf.Any 値を含むメッセージにアンマーシャリングするとき、または JSON 形式のメッセージで UnmarshalOptions.DiscardUnknown オプションが設定されているときに発生する可能性があります。

CVE-2024-28180: jose-go の高圧縮データの不適切な処理

高圧縮データの不適切な処理により、Jose に脆弱性が発見されました。Decrypt または DecryptMulti 関数によって展開したときに大量のメモリーと CPU を使用する圧縮データを含む JSON Web Encryption (JWE) 暗号化メッセージを攻撃者が送信する可能性があります。 

ソースクラスター上の Rsync Pod が Error 状態に移行するため、ボリュームの直接移行が失敗する

永続ボリューム要求 (PVC) を使用してアプリケーションを移行すると、Stage 移行操作が警告付きで成功し、直接ボリューム移行 (DVM) が失敗し、ソース namespace の rsync Pod が error 状態になります。(BZ#2256141)

競合状態が作成後に一時的に消去される

新しい状態移行プランを作成したときに競合エラーメッセージが表示された場合、エラーメッセージが表示された直後に消去されます。(BZ#2144299)

デフォルトのボリュームスナップショットの場所 (VSL) が指定されていないクラスターに、異なるプロバイダータイプの複数の VSL が設定されている場合、移行が失敗する

クラスター内に異なるプロバイダータイプを持つ複数の VSL があり、そのいずれもデフォルトの VSL として設定されていない場合、Velero で検証エラーが発生し、移行操作が失敗します。(BZ#2180565)

CVE-2023-39325 CVE-2023-44487: さまざまな不具合

Migration Toolkit for Containers (MTC) で使用される HTTP/2 プロトコルでの多重化ストリームの処理に不具合が見つかりました。 クライアントは、新しい多重化ストリームのリクエストを繰り返し作成し、すぐに RST_STREAM フレームを送信してそれらのリクエストをキャンセルする可能性があります。このアクティビティーにより、ストリームのセットアップと削除に関してサーバーに追加のワークロードが発生しましたが、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限は回避されました。その結果、サーバーリソースの消費によりサービス拒否が発生しました。

Migration details ページにエラーコード 504 が表示される

Migration details ページでは、最初は問題なく migration details が表示されます。しかし、しばらくすると詳細が表示されなくなり、504 エラーが返されます。(BZ#2231106)

MTC 1.7.x から MTC 1.8 にアップグレードする際に古い Restic Pod が削除されない

MTC Operator を 1.7.x から 1.8.x にアップグレードしても、古い Restic Pod は削除されません。アップグレード後、Restic Pod とノードエージェント Pod の両方が namespace に表示されます。(BZ#2236829)

DVM での rsync オプションを調整する

このリリースでは、ダイレクトボリュームマイグレーション (DVM) の過程で Rsync による絶対シンボリックリンクの操作を阻止できます。DVM を特権モードで実行すると、永続ボリューム要求 (PVC) 内の絶対シンボリックリンクが保持されます。特権モードに切り替えるには、MigrationController CR で migration_rsync_privileged 仕様を true に設定します。(BZ#2204461)

DVM での rsync オプションを調整する

このリリースでは、ユーザーは、ダイレクトボリュームマイグレーション (DVM) 中に絶対シンボリックリンクが rsync によって操作されることを防げません。(BZ#2204461)

Velero イメージを MTC Operator でオーバーライドできない

以前のリリースでは、MigrationController カスタムリソース (CR) の velero_image_fqin パラメーターを使用して velero イメージをオーバーライドできませんでした。(BZ#2143389)

ドメイン名が 6 文字を超える場合、UI から MigCluster を追加すると失敗する

以前のリリースでは、ドメイン名が 6 文字を超えると、UI から MigCluster を追加できませんでした。UI コードでは、2 - 6 文字のドメイン名が必要でした。(BZ#2152149)

UI が Migrations ページのレンダリングに失敗する: Cannot read properties of undefined (reading 'name')

以前のリリースでは、UI は Migrations ページのレンダリングに失敗し、Cannot read properties of undefined (reading 'name') を返していました。(BZ#2163485)

Red Hat OpenShift Container Platform 4.6 クラスターで DPA リソースの作成に失敗する

以前のリリースでは、OpenShift Container Platform 4.6 クラスターに MTC をデプロイすると、ログには DPA の作成失敗が記録され、その結果として一部の Pod が欠落していました。OCP 4.6 クラスターの migration-controller のログには、予期しない null 値が渡され、それがエラーの原因であることが示されています。(BZ#2173742)

Red Hat OpenShift Container Platform 4.12 で PSA を使用した DVM サポートに関して提案された変更が実装された

OpenShift Container Platform 4.12 で導入された Pod Security Admission (PSA) により、デフォルトの Pod は restricted プロファイルで実行されます。この restricted プロファイルは、移行するワークロードがこのポリシーに違反し、現時点では機能しないことを意味します。次の機能拡張では、OCP 4.12 との互換性を維持するために必要な変更の概要を説明します。(MIG-1240)

Red Hat OpenShift Platform 4.12 で cronjob が見つからないエラーにより、ストレージクラス変換プランを作成できない

以前のリリースでは、CronJob が batch/v1beta1 バージョンで使用できないエラーが persistent volumes ページでスローされ、Cancel をクリックすると、migplan が Not ready ステータスで作成されていました。(BZ#2143628)

競合状態が、作成後に短時間で解消される

新しい状態移行プランを作成すると競合エラーが発生し、そのエラーは表示された直後に解消されます。(BZ#2144299)

ソースクラスター上の rsync Pod がエラー状態に移行するため、ボリュームの直接移行が失敗する

以前のリリースでは、移行は警告付きで成功しましたが、ソース namespace の rsync Pod がエラー状態に遷移してボリュームの直接移行に失敗していました。(*BZ#2132978)

Velero イメージを MTC Operator でオーバーライドできない

以前のリリースでは、MigrationController カスタムリソース (CR) の velero_image_fqin パラメーターを使用して velero イメージをオーバーライドできませんでした。(BZ#2143389)

UI で MigHook を編集すると、ページのリロードに失敗する場合がある

ネットワーク接続に問題がある場合、フックを編集する際に UI のリロードに失敗することがあります。ネットワーク接続が復元された後、キャッシュがクリアされるまでページはリロードできません。(BZ#2140208)

ロールバックでターゲットクラスターから一部のリソースが削除されない

MTC UI からアプリケーションのロールバックを実行すると、一部のリソースがターゲットクラスターから削除されず、ステータスにはロールバックが正常に完了したことが表示されます。(BZ#2126880)

宛先 namespace の正しい DNS 検証

以前のリリースでは、宛先の namespace がアルファベット以外の文字で始まっている場合、MigPlan を検証できませんでした。(BZ#2102231)

UI からすべての PVC の選択を解除しても、PVC 転送が試行される

以前のリリースでは、完全移行の実行中に永続ボリューム要求 (PVC) の選択を解除しても、PVC の選択がスキップされず、引き続き移行が試行されていました。 (BZ#2106073)

宛先 namespace の間違った DNS 検証

以前のリリースでは、宛先の namespace がアルファベット以外の文字で始まっていたため、MigPlan を検証できませんでした。 (BZ#2102231)

MTC UI でログが正しく表示されない

以前のリリースでは、MTC UI でログが正しく表示されませんでした。(BZ#2062266)

StorageClass 変換プランで migplan に migstorage 参照が追加されている

以前のリリースでは、StorageClass 変換プランには、使用されていない場合でも migstorage 参照が含まれていました。(BZ#2078459)

ダウンロードされたログに Velero Pod のログがない

以前のリリースでは、すべてのログの圧縮 (.zip) フォルダーをダウンロードしても、velero Pod がありませんでした。(BZ#2076599)

Velero Pod のログが UI ドロップダウンに表示されない

以前のリリースでは、移行を実行した後、ドロップダウンリストに表示されるログの中に velero Pod ログがありませんでした。(BZ#2076593)

Rsync オプションのログが log-reader Pod に表示されない

以前のリリースでは、migrationcontroller で有効または無効な rsync オプションを設定しようとすると、log-reader に無効なオプションや使用されている rsync コマンドに関するログが表示されませんでした。(BZ#2079252)

Velero/Restic のデフォルトの CPU リクエストは要求が高すぎるため、特定の環境で失敗する

以前のリリースでは、Velero/Restic のデフォルトの CPU リクエストは要求が高すぎて、特定の環境では失敗していました。Velero および Restic Pod のデフォルトの CPU リクエストは 500m に設定されています。この値は高すぎます。(BZ#2088022)

レプリケーションリポジトリーを別のストレージプロバイダータイプに更新すると、UI は無視される

レプリケーションリポジトリーを別のタイプに更新して Update Repository をクリックすると、接続に成功したことが表示されますが、UI は正しい詳細で更新されません。Edit ボタンを再クリックすると、古いレプリケーションリポジトリー情報が引き続き表示されます。

バックアップが見つからないため移行が失敗する

初期バックアップが見つからないため、復元段階で移行が失敗します。(BZ#2104874)

Azure リソースグループを更新する際に Update Cluster ボタンが有効にならない

リモートクラスターを更新する際に、Azure resource group チェックボックスを選択してリソースグループを追加しても、Update cluster オプションが有効になりません。(BZ#2098594)

migstorage リソースを削除する際にエラーポップアップが UI に表示される

OpenShift Container Platform で backupStorage 認証情報シークレットを作成する際に、migstorage が UI から削除されると、404 エラーが返され、基礎となるシークレットは削除されません。(BZ#2100828)

UI で Miganalytic リソースのリソース数が 0 と表示される

バックエンドから migplan を作成した後、UI で Miganalytic リソースのリソース数が 0 と表示されます。(BZ#2102139)

イメージレジストリーへの公開ルートホストの末尾にスラッシュを 2 つ追加すると、レジストリーの検証が失敗する

公開レジストリールートの末尾にスラッシュを 2 つ (//) 追加すると、MigCluster リソースのステータスが connected と表示されます。DIM を使用してバックエンドから migplan を作成すると、プランのステータスは unready に遷移します。(BZ#2104864)

ソースクラスターの編集中にサービスアカウントトークンが表示されない

追加された Connected 状態のソースクラスターを編集する際に、UI でフィールドにサービスアカウントトークンが表示されません。ウィザードを保存するには、トークンを再度取得し、フィールド内に詳細を入力する必要があります。(BZ#2097668)

宛先 namespace の間違った DNS 検証

宛先 namespace がアルファベット以外の文字で始まっているため、MigPlan を検証できません。(BZ#2102231)

Velero Pod にラベルがないため、移行コントローラーのクラウド伝播フェーズが機能しない

Velero Pod にラベルがないため、移行コントローラーのクラウド伝播フェーズが機能しません。移行コントローラーの EnsureCloudSecretPropagated フェーズは、レプリケーションリポジトリーのシークレットが両側に伝播されるまで待機します。このラベルが Velero Pod にないため、フェーズは期待どおりに機能しません。(BZ#2088026)

Velero/Restic のデフォルトの CPU リクエストの要求は高すぎるため、特定の環境でスケジュールの作成に失敗

Velero/Restic のデフォルトの CPU リクエストの要求は高すぎるため、特定の環境でスケジュールの作成に失敗します。Velero および Restic Pod のデフォルトの CPU リクエストは 500m に設定されています。この値は高すぎます。リソースは、Velero と Restic の podConfig フィールドを使用して DPA で設定できます。Migration Operator は、MTC の実行場所になることが多いリソース制約がある環境で Velero Pod と Restic Pod をスケジュールできるようにするために、CPU リクエストを 100m などの低い値に設定する必要があります。(BZ#2088022)

ストレージクラス変換プランを編集すると、persistentVolumes ページに警告が表示される

ストレージクラス変換プランを編集すると、、persistentVolumes ページに警告が表示されます。既存の移行プランを編集すると、UI にAt least one PVC must be selected for Storage Class Conversion の警告が表示されます。(BZ#2079549)

ダウンロードされたログに Velero Pod のログがない

すべてのログの圧縮 (.zip) フォルダーをダウンロードしても、velero Pod はありません。(BZ#2076599)

Velero Pod のログが UI ドロップダウンに表示されない

移行を実行した後、ドロップダウンリストに表示されるログの中に velero Pod ログがありません。(BZ#2076593)