Seite wählen

NETWAYS Blog

Hier erfährst Du alles was uns bewegt. Technology, Hardware, das Leben bei NETWAYS, Events, Schulungen und vieles mehr.

OSMC 2023 | Experiments with OpenSearch and AI

Last year's Open Source Monitoring Conference (OSMC) was a great experience. It was a pleasure to meet attendees from around the world and participate in interesting talks about the current and future state of the monitoring field. Personally, this was my first time...

OSMC 2023 | Experiments with OpenSearch and AI

Last year's Open Source Monitoring Conference (OSMC) was a great experience. It was a pleasure to meet attendees from around the world and participate in interesting talks about the current and future state of the monitoring field. Personally, this was my first time...

OSMC 2023 | Experiments with OpenSearch and AI

OSMC 2023 | Experiments with OpenSearch and AI

Last year's Open Source Monitoring Conference (OSMC) was a great experience. It was a pleasure to meet attendees from around the world and participate in interesting talks about the current and future state of the monitoring field. Personally, this was my first time...

stackconf 2024 | Announcing our First Speakers

stackconf 2024 | Announcing our First Speakers

The Wait is Over! We’re super excited to finally announce our first confirmed speakers for stackconf 2024. It’s a diverse group of international experts who specialize in cloud-native infrastructure solutions. Have a look and see which topics interest you the most....

Lösungen & Technology

Foreman Birthday Event 2023 – Recap

Foreman Birthday Event 2023 – Recap

Two years ago I started my recap of the event with "Last week on Thursday we had the Foreman Birthday event and I can proudly say it was a big success." and I can do the same for this one. At the beginning of the year planning for the event started in the background...

Do Servers Dream of Electric Sadness?

Do Servers Dream of Electric Sadness?

Als Systemadministrator ist man oft mit einer Vielzahl von Fehlermeldungen konfrontiert, die manchmal klar verständlich, manchmal mehrdeutig und manchmal völlig nichtssagend sein können. Wichtig ist hierbei, sich nicht von der Meldung in der Herangehensweise an den...

check_prometheus ist jetzt öffentlich verfügbar!

check_prometheus ist jetzt öffentlich verfügbar!

Monitoring ist komplex, das wissen wir hier bei NETWAYS leider zu gut. Deswegen laufen in der Infrastruktur auch mal gerne mehrere Tools für die Überwachung. Zwei gern gesehene Kandidaten sind dabei Icinga und Prometheus. Icinga und Prometheus erfüllen...

Events & Trainings

DevOpsDays Berlin 2024 | The Schedule is Online!

We're excited to share that DevOpsDays Berlin is making a comeback this year! After a one-year break, the event will happen on May 7 & 8 in Berlin. And we've got some great news for you!   The Program is All Set! Yes, you heard it right. The two-day program...

DevOpsDays Berlin 2024 | The Schedule is Online!

DevOpsDays Berlin 2024 | The Schedule is Online!

We're excited to share that DevOpsDays Berlin is making a comeback this year! After a one-year break, the event will happen on May 7 & 8 in Berlin. And we've got some great news for you!   The Program is All Set! Yes, you heard it right. The two-day program...

DevOpsDays Berlin 2024 | Submit your Talk

DevOpsDays Berlin 2024 | Submit your Talk

Call for Papers The organizers of this year’s DevOpsDays Berlin are still looking for speakers to provide an amazing lecture program. Their Call for Papers is open until January 31. You’re welcomed to submit your talk as the organizers are seeking presentations in...

Web Services

NWS-ID for your Managed Kubernetes!

First Cloud, now Kubernetes - the integration of NWS-ID with our portfolio continues! As a next step, we will merge your Managed Kubernetes clusters with NWS-ID. Credit goes to Justin for extending our cluster stack with OpenID-Connect (OIDC), the base for NWS-ID! How...

NWS-ID for your Managed Kubernetes!

First Cloud, now Kubernetes - the integration of NWS-ID with our portfolio continues! As a next step, we will merge your Managed Kubernetes clusters with NWS-ID. Credit goes to Justin for extending our cluster stack with OpenID-Connect (OIDC), the base for NWS-ID! How...

NWS-ID for your Managed Kubernetes!

NWS-ID for your Managed Kubernetes!

First Cloud, now Kubernetes - the integration of NWS-ID with our portfolio continues! As a next step, we will merge your Managed Kubernetes clusters with NWS-ID. Credit goes to Justin for extending our cluster stack with OpenID-Connect (OIDC), the base for NWS-ID! How...

Wie Du Apps über Rocket.Chat Marketplace installierst

Wie Du Apps über Rocket.Chat Marketplace installierst

Nachdem Rocket.Chat von immer mehr Kunden möchte, ihren Cloud Service zu nutzen, ist es uns leider nicht mehr möglich, einige Features direkt beim Start Deiner App bereitzustellen. Nehmen wir als Beispiel mal die Jitsi App: um Jitsi nun nutzen zu können, musst Du die...

Cachet: Statuswebsite leicht gemacht!

Cachet: Statuswebsite leicht gemacht!

Wer die Blogs von NWS regelmäßig verfolgt und liest, wundert sich wahrscheinlich gerade „da ist ja jemand neues im Team" - ja ich habe die Ehre bei NWS vorbei schauen zu dürfen und noch mehr zu lernen. Das gehört zur Ausbildung bei NETWAYS dazu, um ein einheitliches...

Unternehmen

OSMC 2023 | Will ChatGPT Take Over My Job?

One of the talks at OSMC 2023 was "Will ChatGPT take over my job?" by Philipp Krenn. It explored the changing role of artificial intelligence in our lives, raising important questions about its use in software development.   The Rise of AI in Software...

OSMC 2023 | Will ChatGPT Take Over My Job?

One of the talks at OSMC 2023 was "Will ChatGPT take over my job?" by Philipp Krenn. It explored the changing role of artificial intelligence in our lives, raising important questions about its use in software development.   The Rise of AI in Software...

OSMC 2023 | Will ChatGPT Take Over My Job?

OSMC 2023 | Will ChatGPT Take Over My Job?

One of the talks at OSMC 2023 was "Will ChatGPT take over my job?" by Philipp Krenn. It explored the changing role of artificial intelligence in our lives, raising important questions about its use in software development.   The Rise of AI in Software...

stackconf 2024 | Save the Date!

stackconf 2024 | Save the Date!

Save the Date! Announcing stackonf 2024! We look forward to meeting you once again to exchange the latest news about cloud native infrastructure solutions! Next year's event will take place on June 18 and 19 in Berlin. So, mark your calendars and don't miss out!...

Blogroll

Da hast Du einiges zu lesen …

Die erste Anwendung mit Laravel entwickeln – Ein Erfahrungsbericht

Die erste Anwendung mit Laravel entwickeln – Ein Erfahrungsbericht

Als Auszubildende im 1. Lehrjahr bei NETWAYS hatte ich im Rahmen eines Übungsprojekts die Gelegenheit, meine ersten Erfahrungen in der Webentwicklung zu sammeln. In diesem Beitrag möchte ich beispielhaft die Arbeit mit dem PHP-Framework Laravel teilen.

 

Warum Laravel?

  • Open Source und Full-Stack: Laravel ist ein leistungsstarkes Open-Source-Framework für die Entwicklung von Webanwendungen. Es bietet viele Tools für die Frontend- und Backend-Entwicklung.
  • Umfangreiches Lernmaterial: Laravel stellt umfangreiche Lernressourcen bereit, darunter Videos und eine gut strukturierte Dokumentation direkt auf der Website.
  • Einfache Installation: Die Installation von Laravel ist gut dokumentiert und einfach durchzuführen. Mit Composer (einem Packetmanager) kann schnell ein neues Projekt erstellt werden.

 

Ein einfaches Projekt nach dem MVC-Prinzip

Da ich in meiner Ausbildung bei NETWAYS sehr viele neue und spannende IT-Begriffe lerne, hatte ich die Idee, eine App für ein Glossar von IT-Begriffen zu entwickeln. Ein Übungsprojekt für die Arbeit mit Git bot eine passende Möglichkeit dazu. Im Team entschieden wir uns für das Framework Laravel aufgrund seiner vordefinierten Struktur nach dem MVC-Prinzip (Model, View, Controller). Die wichtigsten Dateien für ein einfaches MVC-Muster in Laravel befinden sich bereits in vordefinierten Ordnern:

View: resources/views/dashboard.blade.php

Controller: app/Http/Controllers/Controller.php, routes/web.php

Model: app/Models/Item.php

 

Implementierung eines Delete-Buttons

Die Implementierung eines Delete-Buttons in unserer Anwendung ermöglicht es Benutzer:innen, Einträge aus dem Glossar zu löschen. Anhand dieses Buttons soll der Workflow mit Laravel exemplarisch dargestellt werden. Die benötigte Datenbank für die Einträge wurde, für die Entwicklung, zunächst als SQLite-Datenbank im Ordner ‚database‘ erstellt und die Migration vorgenommen. Da SQLite ohne Serverinstallation direkt in einer Anwendung verwendet werden und in einer einzigen Datei gespeichert und bearbeitet wird, eignet es sich besonders gut für eine lokal Entwicklungsumgebung.

 

View (Blade-Template):

In Blade, dem standardmäßigen Template Engine, wurde ein HTML-Formular erstellt, das den Delete-Button enthielt. Das Formular ist so konfiguriert, dass es die del_item-Route aufruft, wobei die ID des Glossar-Eintrags als Parameter übergeben wird. Der CSRF-Token (Cross-Site-Request-Forgery) wird für Sicherheitszwecke hinzugefügt. Die geschweiften Klammern sind eine eingebaute Funktion in Blade für die Übergabe von PHP-Variablen.

<form action="{{ route('del_item', $item->id) }}" method="post" style="display: inline;">
    @csrf
    @method('DELETE')
    <button type="submit" class="cta-button">Delete</button>
</form>

 

Route:

In der ‚web.php’-Datei wurde eine Route definiert. Die Route ist ein Bindeglied, das für die Handhabung von HTTP-Anforderungen angelegt wird, um die URL mit der entsprechenden Controller-Methode zu verknüpfen. Im Beispiel des Löschvorgangs wurde der HTTP Request Methode DELETE angewendet und mit der Controller-Methode verknüpft. Der Name der Route ist hier ‚del_item‘. Die Funktionalität ‚middleware‘ sorgt dafür, dass diese Route nur mit entsprechender Authentifizierung ausgeführt werden kann.

Route::delete('/dashboard/item/{id}', [ItemController::class, 'del_item'])
    ->name('del_item')
    ->middleware('auth');

 

Controller:

Der Controller sorgt für die Organisation der Anwendungslogik und ist für die Verarbeitung von Anfragen und die Steuerung des Datenflusses zwischen View und Model zuständig. Im ItemController.php,
der die Items in der Datenbank verwaltet, wird die Methode ‚del_item‘ implementiert. Diese Methode nimmt die ID des zu löschenden Glossar-Eintrags als Parameter an. Der Eintrag wird identifiziert und gelöscht. Daraufhin wird der Benutzer zur Dashboard-Ansicht weitergeleitet.

class ItemController extends Controller
{
    public function del_item($id)
    {
        $item = Item::find($id);
        if ($item) {
            $item->delete();
        }
        return redirect()->route('dashboard');
    }
}

 

Model:

In der Eloquent Models-Datei ‚Item.php‘ wurde bereits die Klasse für die Datenverwaltung angelegt. Auf dieses Model wird auch bei der Löschung zugegriffen. Laravel bietet die $fillable-Eigenschafft, um anzugeben welche Attribute (in diesem Fall Spaltenname der Tabelle) an die Datenbank übergeben werden sollen.

class Item extends Model
{
use HasFactory;
protected $fillable = ['title', 'description'];
}

 

Dank des Entwicklungswebservers konnte die Funktionalität schnell geprüft werden. Durch das Klicken des Buttons wird der Eintrag aus der Datenbank gelöscht.

 

Meine Lernerfahrung

Die ersten Schritte mit Laravel waren aufgrund der Verschachtelung von Ordnern und Inhalten etwas wackelig. Mit einiger Recherche und Hilfe konnte ich jedoch die Abläufe eines MVC-Prinzips verstehen und anwenden. Laravel bietet eine umfangreiche Struktur, die sowohl einfachen als auch komplexen Funktionalitäten Raum gibt. Nach diesem erfolgreichen Versuch bin ich motiviert, weiter mit Laravel zu arbeiten und meine Fähigkeiten in der Anwendungsentwicklung auszubauen. Besonders die kompetente Unterstützung durch erfahrene Kollegen wie Markus Opolka und Feu Mourek verhalf mir zu meinem Lernerfolg.

 

Jolien Trog
Jolien Trog
Junior Developer

Jolien ist seit September 2023 Teil des Icinga Team und macht dort ihre Ausbildung zur Fachinformatikerin für Anwendungsentwicklung. Ihre Aufgabe ist zunächst viel zu lernen, um später an Projekten mitarbeiten zu können. Nach einem Tag am Computer schwingt sie sich begeistert aufs Rennrad und genießt die vorbeifliegende Natur.
CfgMgmtCamp 2024: Unser Rückblick

CfgMgmtCamp 2024: Unser Rückblick

Vergangene Woche fuhr ein Teil unseres Teams bei NWS bis nach Ghent in Belgien, um am ConfigManagementCamp 2024 teilzunehmen.
Hierbei handelt es sich um eine kostenlose Konferenz, direkt im Anschluss an die FOSDEM, was Jahr für Jahr für ein großes Publikum aus Fans von Open Source, guten Gesprächen und neuen Ideen sorgt. Auch dieses Jahr war das nicht anders, und so wollen wir in diesem Artikel noch einmal auf das CfgMgmtCamp 2024 zurückblicken.

Die ollen Zuverlässigen

Configmanagement als Aufgabenbereich ist bereits seit Längerem eine Notwendigkeit im alltäglichen Betrieb von IT-Infrastruktur und Software. So ist es nur natürlich, dass es inzwischen eine Riege etablierter, „oller“ Lösungen gibt, z.B. Puppet, Terraform oder Ansible.
Es war schön zu sehen, dass die Projekte und ihre jeweiligen Ökosysteme weiterhin voller Leben sind: Egal ob event-driven Ansible oder neue ‚Hacks‘ im Umgang mit Puppet, es gab auf jeden Fall noch Neues zu lernen!

Spongebob Schwammkopf Meme "Ol' Reliable"

Ansible, Terraform und Konsorten sind weiterhin zuverlässige Wegbegleiter im Configmanagement

Terraform und sein brandneuer Fork OpenTofu, der im Januar seinen ersten stabilen Release feiern durfte, waren ebenfalls Thema einiger Talks.
Die Tatsache, dass OpenTofu innerhalb von fünf Monaten von Fork zu Stable Release gelangen konnte, zeigt gut, wie wichtig der Community das Projekt ist.
Es wird spannend zu sehen sein, wie sich die beiden Projekte weiter (auseinander) entwickeln.

Noch erwähnenswert ist, dass sowohl Puppet Labs als auch Ansible als Sponsoren am CfgMgmtCamp 2024 auftraten, sodass man sich direkt ‚an der Quelle‘ mit Maintainern und der Community austauschen konnte.

Neues Jahr, Neue Tools

Natürlich waren wir nicht nur vor Ort, um unser Wissen rund um existierende Tools zu vertiefen, wir wollten auch Neues kennenlernen!
Hierzu gab es so einige Möglichkeiten:

Pkl ist eine Konfigurationssprache, die intern bei Apple genutzt wird. Apple hat sich 3 Tage vor dem CfgMgmtCamp dazu entschlossen, diese zu opensourcen. Einen ersten Eindruck konnten wir beim weltweit ersten Talk zu Pkl erhalten:
Die Konfigurationssprache erlaubt es einem, typisierte und durchweg validierte Konfigurationen zu erstellen, die dann in Formate wie YAML oder JSON exportiert werden können. Genaueres findet man auf der Projektwebsite oder im GitHub-Repository des Projekts

Ein weiteres interessantes Projekt, das am CfgMgmtCamp 2024 vorgestellt wurde, ist winglang. Die zugrundeliegende Idee, eine Programmiersprache für Infrastruktur und Code zu haben, fand viel Anklang.
Winglang fokussiert sich dabei auf die Abstraktion der verschiedenen Bausteine „in er Cloud“, um das Definieren von Workloads und Infrastruktur zu erleichtern.
Uns gefiel vor allem der lokale Simulator, der die definierten Ressourcen und das Verhalten der Workloads in Echtzeit wiederspiegelt.

Die dritte Neuheit, die wir nicht unerwähnt lassen wollen, ist System Initiative, ein ‚collaborative power tool designed to remove the papercuts from DevOps work‘. Du kannst es Dir vorstellen wie DrawIO für Infrastructure, mit Multiplayer-Support: Es ist eine GUI mit einer Vielzahl an Cloud-Komponenten, mit denen Du deine Infrastruktur in den Wolken bauen kannst.
System Initiative gleicht im Hintergrund konstant die Korrektheit und den Zustand Deines Projekts mit der Cloud Deines Vertrauens ab.

Unsere Erkenntnisse vom CfgMgmtCamp 2024

Rückblickend konnten wir zwei grundsätzliche Erkenntnisse mit nach Nürnberg nehmen:

Niemand mag YAML, sogar im ‚YAMLCamp‘ – Ansätze wie CUElang, Pkl und winglang deuten mehr als offensichtlich darauf hin.
Ob Sprachen mit strikteren Regeln hinsichtlich Korrektheit der richtige Weg sind, um am Ende dann doch YAML zu generieren, wird sich noch zeigen müssen.

Ansible, Puppet und Terraform sind nachwievor relevant. Wir konnten auch dieses Jahr wieder Neuerungen, Weiterentwicklungen und lebhafte Diskussionen rund um die Tools und ihre jeweiligen Ökosysteme beobachten. Außerdem hat die Open Source Community im vergangenen Jahr eindrucksvoll gezeigt, dass sie die Dinge auch selbst in die Hand nehmen kann, falls nötig (Hallo, OpenTofu!).

Für uns besonders interessant waren einige der Talks rund um Terraform und Ansible, da wir diese rund um OpenStack ebenfalls nutzen: Sei es im Zusammenspiel von OpenStack mit Terraform oder dem Erzeugen dynamischer Inventare unserer Infrastruktur in der Cloud für Ansible.

Und solltest Du Dich noch nicht bereit fühle, direkt ins tiefe Wasser des Configmanagements zu springen, sind ja auch noch unsere MyEngineers bereit, Dir jederzeit zu helfen.

Daniel Bodky
Daniel Bodky
Platform Advocate

Daniel kam nach Abschluss seines Studiums im Oktober 2021 zu NETWAYS und beriet zwei Jahre lang Kunden zu den Themen Icinga2 und Kubernetes, bevor es ihn weiter zu Managed Services zog. Seitdem redet und schreibt er viel über cloud-native Technologien und ihre spannenden Anwendungsfälle und gibt sein Bestes, um Neues und Interessantes rund um Kubernetes zu vermitteln. Nebenher schreibt er in seiner Freizeit kleinere Tools für verschiedenste Einsatzgebiete, nimmt öfters mal ein Buch in die Hand oder widmet sich seinem viel zu großen Berg Lego. In der wärmeren Jahreszeit findet man ihn außerdem oft auf dem Fahrrad oder beim Wandern.
stackconf 2024 | Join as a Speaker!

stackconf 2024 | Join as a Speaker!

Our Call for Papers runs out on March 31. That’s why we’re calling a last time for talk proposals. Do you have insights, innovations, or experiences to showcase in the realm of cloud native infrastructure solutions? If so, we invite you to submit your proposal and join us as a speaker at this year’s stackconf!

 

Why Speaking at stackconf?

As a speaker at stackconf, you have the opportunity to engage with a diverse audience of IT professionals, enthusiasts, and industry leaders. Whether you’re an experienced speaker or a first-timer, stackconf provides a supportive platform to share your knowledge and connect with fellow experts in the field. And, of course, your entire conference experience, including hotel accommodations, will be provided at no cost to you!

 

What We’re Looking For

We welcome submissions that provide valuable technical insights and practical knowledge to our attendees. Whether you’re sharing insights on emerging technologies, best practices, open-source projects, or hands-on tutorials, we’re interested in hearing from you. Our participants are eager to learn about new developments, gain technical skills, and explore innovative solutions to challenges in IT infrastructure and beyond.

Chose from the following three different options the one that suits you best:

IGNITE TALK | Five minutes to talk accompanied by 20 slides, 15 seconds each.

MEDIUM TALK | The short lecture format limited to 30 minutes, including a Q&A session.

FULL TALK | The long lecture format of 45 minutes, including a Q&A session.

 

What stackconf is all about

At stackconf we have a look at cloud native solutions for IT infrastructures based on open source that help with continuous integration, containers, hybrid setups, and cloud technologies. Experts from around the world will talk about how to link development, testing, and operations. The event will have talks on different topics related to the whole process of developing and running systems. You can learn about new and creative ways to use technology and what will shape the future.

 

Katja Kotschenreuther
Katja Kotschenreuther
Manager Marketing

Katja ist seit Oktober 2020 Teil des Marketing Teams. Als Manager Marketing kümmert sie sich hauptsächlich um das Marketing für die Konferenzen stackconf und OSMC sowie unsere Trainings. Zudem unterstützt sie das Icinga Team mit verschiedenen Social Media Kampagnen und der Bewerbung der Icinga Camps. Sie ist SEO-Verantwortliche für all unsere Websites und sehr viel in unserem Blog unterwegs. In ihrer Freizeit reist sie gerne, bastelt, backt und engagiert sich bei Foodsharing. Im Sommer kümmert sie sich außerdem um ihren viel zu großen Gemüseanbau.
stackconf 2023 | Climbing high — getting started with cloud native security through open source

stackconf 2023 | Climbing high — getting started with cloud native security through open source

Let us once again immerse ourselves in the fascinating world of the past stackconf 2023, where we were able to experience numerous exciting insights into expert knowledge. In our blog series, we would like to introduce you to the keynote speakers and their captivating presentations. Today we would like to remember Anaïs Urlichs and her inspiring talk on „Climbing high – getting started with cloud native security through open source“.

 

Take a Glimpse inside:

Anaïs points out that security-specific tools often only come into focus when they are urgently needed or when something bad has happened. While larger companies establish safety teams, many smaller organizations and individuals are left without this resource. The first part of her presentation discusses the parallels between climbing and the need for a safety mindset. Without safety specialists on the team, it could be risky for most cluster administrators, similar to free climbing, which is more suited to experienced experts. In the second part, Anais shows how cloud native security tools such as Trivy can be integrated into existing processes and monitoring systems. The goal is to equip Kubernetes cluster administrators and engineers with the necessary tools and knowledge to ensure the security of their resources without having to be experts in the field themselves.

 

Let’s have a Look at her Talk:

Get insider knowledge through Anais and watch her presentation.

YouTube player

 

Go Get Connected:

The date for stackconf 2024 is already fixed! Make a note of June 18 & 19. Early Bird Tickets are on sale and available until February 29. Secure yours now and don’t miss out. Sign up for our newsletter and stay up to date!

 

Sebastian Zwing
Sebastian Zwing
Marketing Specialist

Sebastian verstärkt seit November 2023 unser Marketingteam. Als Marketing Specialist wird er die Kommunikation der NETWAYS GmbH weiter mit ausbauen und neue Ideen einbringen. Seine Freizeit verbringt Sebastian gerne auf Reisen, als Hobbykoch in der Küche oder am Grill, an der frischen Luft, an und auf dem Wasser, oder auf dem Zweirad.
Kibana Sicherheits-Updates: CVSS:Critical

Kibana Sicherheits-Updates: CVSS:Critical

Und täglich grüßt das Murmeltier. Nein nicht ganz. Heute ist es  aus der Elastic Stack Werkzeugkiste Kibana, für das es ein wichtiges Sicherheits-Update gibt. Es besteht auf jeden Fall Handlungsbedarf! IMHO auch wenn ihr die „Reporting“ Funktion deaktiviert habt.

Der Link zur Veröffentlichung: Kibana 8.12.1, 7.17.18 Security Update (ESA-2024-04)

Schweregrad: Severity: CVSSv3: 9.9(Critical)

Beschreibung

Die Verwundbarkeit ist ist auf eine Schwachstelle von Google Chrome aus Dezember 2023 zurückzuführen. Da Kibana für die Reporting Funktion eine eingebettete „Chromium headless Verison“ mit sich bringt, ist Kibana von dieser „Heap buffer overflow in WebRTC“ ebenfalls betroffen. Diese Schwachstelle ermöglicht es einem entfernten Angreifer, über eine manipulierte HTML-Seite einen „Heap-Velrust“ auszunutzen.

Dieser Effekt betrifft „on-premises“ Kibana installation auf Betriebsystemen die „Chromium Sandbox“ abgeschaltet haben. Diese sind CentOS, Debian, RHEL.

Es betrifft auch Instanzen welche mit dem Kibana Docker betrieben werden, wenn „Chromium Sandbox“ wie explizit empfohlen abgeschaltet ist. Jedoch gilt hier, dass eine „Container Escape“ nicht möglich ist, da es durch „seccomp-bpf“ unterbunden wird. Das gilt auch für Kibana Instanzen auf „Elastic Cloud„, für „Elastic Cloud Enterprise (ECE)„, wobei hier das weitere Vordringen zusätzlich zum „seccomp-bf “ mit „AppArmor profiles“ verhindert wird.

Für Kibana Instanzen welche auf „Elastic Cloud on Kubernetes“ laufen, ist um das weitere Vordingen (Container Escape) durch „seccomp-bf“ zu verhindern, dieses entsprechend in Kubernetes zu konfigurieren (wird seit V1.19 unterstützt).

Betroffene Versionen

  • Kibana bis 7.17.17
  • Kibana bis 8.12.0

Handlungsablauf zur Abhilfe

  • Dringend Update auf Version 8.12.1 oder Version 7.17.18
    • Dabei ist aber auch an die Elasticsearch Version zu denken
  • Sollte Kein UPDATE möglich sein, dann sollte die „Reporting“ Funktion dringend abgeschalten werden
    vi /etc/kibana/kibana.yml
    ...
    xpack.reporting.enabled: false

     

Anmerkung der Redaktion

Hier ist ein handeln Empfohlen. Der Hersteller hat die Schwachstelle erkannt und öffentlich bekannt gegeben, begleitet von Handlungsempfehlungen zur Behebung. Wir haben dies festgestellt und möchten euch mit diesem Beitrag bei der Erkennung und der damit verbundenen Möglichkeit zum Handeln unterstützen. Wenn Ihr unsicher seit, wie ihr reagieren sollt und Unterstützung benötigt, wendet euch einfach an unser Sales-Team. Das Team von Professional Services unterstützt euch gerne.

Daniel Neuberger
Daniel Neuberger
Senior Consultant

Nach seiner Ausbildung zum Fachinformatiker für Systemintegration und Tätigkeit als Systemadministrator kam er 2012 zum Consulting. Nach nun mehr als 4 Jahren Linux und Open Source Backup Consulting zieht es ihn in die Welt des Monitorings und System Management. Seit April 2017 verstärkt er das NETWAYS Professional Services Team im Consulting rund um die Themen Elastic, Icinga und Bareos. Wenn er gerade mal nicht um anderen zu Helfen durch die Welt tingelt geht er seiner Leidenschaft für die Natur beim Biken und der Imkerei nach und kassiert dabei schon mal einen Stich.