Zwalidowany kontekst sesji WHM
CGI WHM zachowuje zwalidowany cp_security_token wymagany przez natywną sesję cPanel. Pozostają dotychczasowe kontrole żądań, taint mode i granice odpowiedzi same-origin.
Dziewięć zweryfikowanych ścieżek wdrożenia
Utwardzony CSF/LFD dla OLSPanel, cPanel i paneli hostingowych
DCSF integruje się z OLSPanel, cPanel & WHM, DirectAdmin, CyberPanel, CWP, InterWorx, VestaCP i Webmin, a także działa bez panelu na wspieranych systemach z rodzin RHEL i Debian.
DCSF
DH20.29: co nowego
Wydanie łączy poprawki kontekstu WHM, stanu LFD i instalatora z naprawą regresji znalezionej na canary. Zastępuje DH20.28; 51 pozycji rejestru bezpieczeństwa pozostaje oddzielną liczbą, bez doliczania testów jako podatności.
Ograniczone kompaktowanie stanu LFD
LFD kompaktuje csf.temppids w ramach istniejących limitów rozmiaru i liczby rekordów, używając LF_FLUSH do usuwania przeterminowanego stanu procesów. Nagromadzony stan tymczasowy nie blokuje zapisu nowych tożsamości procesów.
Uprawnienia tylko publicznych modułów META cPanel
Poprawka zgodności ustawia właściwe prawa wyłącznie publicznych modułów META cPanel. Nie rozszerza dostępu do prywatnej konfiguracji ani całego drzewa cPanel.
Poprawiona naprawa pliku resellerów
DH20.29 bezpiecznie uzupełnia brakujący końcowy LF w csf.resellers i poprawia błąd powłoki wykryty na canary. DH20.28 / 15.10.31 zostało zastąpione z powodu błędu tej ścieżki naprawy.
Porównanie równoważnych polityk nftables
Porównanie uwzględnia inną kolejność prezentacji niezależnych łańcuchów, zachowując kolejność reguł w każdym łańcuchu i pozostałe kontrole polityki. Samo przestawienie niezależnych łańcuchów nie powoduje już fałszywej rozbieżności.
77/77 testów Linux i zakończony canary
Kwalifikacja projektu zaliczyła wszystkie 77 plików testowych Linux. Aktualizacja canary autossltest2 zakończyła się z aktywnymi CSF/LFD i zachowaną konfiguracją. Oddzielnie sprawdzony host produkcyjny przeszedł tylko dry-run; nie oznacza to wykonanej aktualizacji produkcji.
Modele, dane i koszty API
Modele dostępne do wyboru w tym wydaniu: gpt-5-mini, gpt-5.4-mini, gpt-5.6-terra. Dostępność zależy od konta OpenAI API administratora.
Po włączeniu wybrane lokalne dane diagnostyczne bezpieczeństwa są wysyłane do OpenAI. Rozpoznane sekrety są maskowane, ale nie jest to gwarancja anonimowości. store=false nie gwarantuje Zero Data Retention; nadal obowiązują ustawienia konta API i zasady dostawcy. Opcjonalne użycie API jest rozliczane osobno od bezpłatnego DCSF. Wnioski wymagają oceny administratora i nie gwarantują wykrycia wszystkich problemów bezpieczeństwa.
Zachowane wcześniejsze poprawki instalacji i zgodności
- Przywrócone natywne osadzenie w WHM Jupiter. DH20.27 naprawiło regresję cPanel, w której samodzielny dokument HTML DCSF zastępował stronę WHM. Interfejs jest renderowany przez csf.tmpl i natywny master_templates/master.tmpl, z zachowaniem nawigacji panelu i responsywnego układu.
- CGI w taint mode i ograniczony helper szablonu. Główny CGI zachowuje perl -T, walidację żądań i odpowiedzi same-origin. Stały helper root:root 0700 używa prywatnego Perla cPanel i Cpanel::Template::process_template przez listową postać IPC::Open2. Czyści zmienne sterujące interpreterem, ustala PATH, nie przyjmuje argumentów ścieżki ani szablonu i ogranicza stdin do 32 MiB.
- nginx rozstrzyga o adresie klienta. W zweryfikowanej topologii cPanel EA-Nginx ustawienie SERVER="auto" wybiera nginx na publicznych portach 80/443. Jego ustrukturyzowany log wejściowy dostarcza rzeczywistego IP klienta. WebGuard nie ufa dowolnym wartościom X-Forwarded-For ani nie wyznacza klientów ze zwykłego logu backendu Apache.
- Apache wskazuje obciążenie, nie klienta do blokady. Apache nasłuchuje na prywatnych portach 81/444. Jego server-status i opcjonalny log o roli backend dostarczają tylko sygnału przeciążenia. Lokalny adres nginx 127.0.0.1 nie staje się kandydatem do blokady. Nie zakładamy takiej samej granicy zaufania dla nieobsługiwanych lub niezweryfikowanych układów proxy.
- Jedno zaufane drzewo bibliotek podczas diagnostyki. Diagnostyczne uruchomienie rozpakowanego, podpisanego pakietu obok starszego cPanel CSF zachowuje pierwszeństwo jego własnych bibliotek. Próba dodania /usr/local/csf/lib przez stary moduł ponownie ustawia wybrane źródło na początku, a bibliotekę instalacji pozostawia tylko jako fallback. Normalne uruchomienie zainstalowanej wersji nie zmienia się.
- Natywna kopia przed migracją. Gdy iptables-save nie potrafi wyeksportować rozpoznanej niezgodnej tabeli iptables-nft, migracja cpanel-csf zapisuje pełny nft list ruleset i diagnostykę eksporterów z sumami SHA-256. Kontynuuje dopiero po potwierdzeniu bezczynności równoległego backendu legacy i zabezpieczeniu dokładnego pakietu RPM do wycofania zmiany.
- Ograniczona przebudowa przez zaufane CSF. Bootstrap przebudowuje wyłącznie niezgodne standardowe tabele filter, nat, mangle, raw i security rodzin ip oraz ip6, używając już zainstalowanego, zaufanego csf -r. Pozostałe natywne tabele nie są wybierane do normalizacji.
- Porównanie polityki i automatyczny rollback. Kanoniczne polityki IPv4/IPv6 są porównywane przed przebudową i po niej. Brak tabeli, różnica semantyczna, przerwanie lub późniejszy błąd instalacji uruchamia przywracanie. Testy objęły wszystkie dziesięć standardowych tabel, w tym wymuszoną rozbieżność z odtworzeniem pierwotnej polityki i konfiguracji.
- Opcjonalny AI System Scan. AI System Scan dodaje szybki i pogłębiony przegląd do interfejsu administracyjnego DCSF. Funkcja jest domyślnie wyłączona i wymaga podania przez administratora własnego klucza OpenAI API oraz wyboru modelu.
- Ograniczony zakres dowodów i chroniony klucz. Pojedynczy skan w tle zbiera ograniczony zestaw lokalnych danych bezpieczeństwa, z limitami odczytów, procesów, rozmiaru danych i czasu wykonania. Klucz API jest w osobnym pliku dostępnym tylko dla roota i nigdy nie wraca do interfejsu.
- Wnioski powiązane z przekazanymi dowodami. Żądania OpenAI Responses API używają store=false, bez narzędzi i ze ścisłym formatem odpowiedzi. Wnioski oraz zalecenia muszą wskazywać prawidłowe identyfikatory dowodów z wysłanego zestawu. Raport doradza, ale nie wykonuje automatycznie napraw.
- Istniejące katalogi prywatnego stanu AI. Instalator sprawdza właściciela, grupę i uprawnienia prywatnych katalogów stanu AI bez wymagania jednej referencji katalogu. Istniejące podkatalogi na systemach plików ext nie powodują już błędnej odmowy instalacji; niebezpieczny właściciel lub prawa nadal ją zatrzymują.
- Zachowane rygorystyczne kontrole migracji. Sam kod wyjścia 0 eksportera nie dowodzi kompletności. Migracja jest odrzucana przy nieznanej diagnostyce lub aktywnej równoległej polityce legacy. Kopia pomijająca aktywną standardową tabelę nftables albo zmiana polityki kanonicznej uruchamia rollback.
- Oddzielny budżet kontekstu procfs. Kontrole kontekstowej tożsamości mają osobny, ograniczony budżet skanowania procfs. Przy wielu procesach nie powstają już fałszywe alarmy excessive usage spowodowane kolizją tych budżetów; zwykłe limity procesu, UID i całego skanowania nie są osłabiane.
- Aktywne LFD po aktualizacji produkcyjnej. Po udanej aktualizacji profilu produkcyjnego (TESTING=0) instalator restartuje LFD i sprawdza wynik, w tym aktywność usługi na systemd. Nowy kod demona działa od razu; instalacje z TESTING=1 nie są uruchamiane.
- Ograniczone ponawianie rejestracji. Rejestracja instalacji korzysta z API HTTPS bez rozszerzenia pliku oraz ograniczonych prób retry i backoff. Chwilowy błąd można ponowić bez nieograniczonego oczekiwania; podpis tożsamości i kontrola adresu źródłowego pozostają wymagane.
- Instalacja świadoma stanu SELinux. Instalator sprawdza stan SELinux przed użyciem chcon. Wyłączony SELinux nie powoduje już mylących ostrzeżeń o etykietowaniu, a aktywne środowiska zachowują obsługę kontekstów.
- Natywna obsługa systemd. Host działający wyłącznie na systemd nie zgłasza braku starych plików startowych SysV ani nie próbuje zmieniać właściciela nieistniejących plików. Starszy init pozostaje obsługiwany.
- Trafna kontrola Apache i ModSecurity. Nieaktywny Apache i domyślne ścieżki logów ModSecurity mają status informacyjny. Na systemd rozstrzyga rzeczywisty stan usługi: prywatny /opt/zimbra/common/bin/httpd nie jest mylony z systemowym Apache. Starszy init zachowuje kontrolę procesu.
- Sprawdzony transport poczty Zimbra. Kanoniczny symlink sendmail Zimbry jest rozpoznawany przez kontrolę zaufanej ścieżki. Ta celowana poprawka zgodności nie nadaje zaufania dowolnym symlinkom.
Kwalifikacja wydania Linux: 77/77. Kontrole publicznego bootstrapu: 85/85.
DCSF
DH20.29 domyka zależność JSON::PP bez osłabiania zaufania
Pakiet 15.10.32 dodaje JSON::PP do preflightu instalatora i kontroli runtime os.pl, zachowując rozdział systemowego Perla, prywatnego środowiska cPanel oraz jawnego fallbacku CPAN.
Najpierw pakiety systemowe
Poza cPanel DCSF naprawia zamkniętą listę modułów przez dokładne możliwości RPM lub mapowanie pakietów Debiana. DNF i YUM zachowują weryfikację GPG, a APT odrzuca repozytoria nieuwierzytelnione i niezabezpieczone.
Pomiar postępu i ponowna kontrola
Instalator inwentaryzuje wymagane moduły przed preflightem i po naprawie. Próby są ograniczone, muszą wykazać postęp, a powodzenie wymaga ponownego importu całej zamkniętej listy.
CPAN wyłącznie po jawnej zgodzie
Systemowy fallback CPAN jest domyślnie wyłączony. Operator musi podać --allow-cpan-fallback; używany jest stały mirror MetaCPAN przez HTTPS, zamknięte nazwy modułów i zweryfikowane katalogi robocze.
Prywatny Perl cPanel
Na cPanel DCSF zawsze sprawdza /usr/local/cpanel/3rdparty/bin/perl, wyznacza pasujący wersjonowany cpanm i uruchamia go jawnie przez ten sam prywatny interpreter, bez mieszania bibliotek z /usr/bin/perl.
Wymagane JSON::PP
Runtime OLSPanel wymaga JSON::PP. RPM wybiera podpisaną możliwość perl(JSON::PP), Debian pakiet libjson-pp-perl, cPanel używa prywatnego cpanm, a systemowy CPAN nadal wymaga jawnego --allow-cpan-fallback.
Canary PASS: Wcześniejszy publiczny test canary --dryrun uwierzytelnił sprawdzane wtedy wydanie, wybrał właściwy instalator i pozostawił każdy zwykły plik bezpośrednio w /etc/csf bez zmian.
DCSF
DH20.29 utrzymuje działania OLSPanel w widocznym obszarze
Pakiet 15.10.32 ogranicza iframe do 640–1200 pikseli, przewija go wewnętrznie i wraca na górę po nawigacji. Maskowany modal, Watch System Logs, Search for IP i Firewall Allow pozostają widoczne, a zaufana polityka i rzeczywisty test backendu są zachowane.
Wykrywanie bez fałszywego wymagania
Katalog modules jest opcjonalny. Detektor przyjmuje wyłącznie wspierane katalogi kanoniczne i bezpieczną deklarację /etc/olspanel/base_dir należącą do roota.
Preflight chronionej konfiguracji
Przed zapisem adapter tylko odczytuje metadane /etc/csf, /etc/csf/csf.conf i /etc/csf/csf.cloudflare. Tryb --dryrun wykonuje tę samą kontrolę bez zmiany plików.
Odrzucenie aliasów i dokładna diagnoza
Symlinki, pliki inne niż zwykłe, własność inną niż root, zapis grupy lub świata oraz chronione pliki z więcej niż jednym hardlinkiem są odrzucane przed instalacją ze wskazaniem dokładnej ścieżki.
Finalizacja bez zmiany treści
Po instalacji /etc/csf otrzymuje root:root 0700, a csf.conf i csf.cloudflare root:root 0600 z dokładnie jednym hardlinkiem. Istniejąca treść obu plików pozostaje identyczna bajtowo.
Uwierzytelniony brakujący plik
Jeżeli csf.cloudflare nie istnieje, może pochodzić wyłącznie ze zweryfikowanego, podpisanego pakietu; istniejący plik nie jest zastępowany.
Brak fałszywego sukcesu
Instalator ogólny kończy pracę błędem, gdy rekurencyjny chmod lub chown nie powiedzie się, zamiast kontynuować do komunikatu PASS.
Kontrolowane utworzenie modules
Brakujący katalog powstaje dopiero podczas rzeczywistej instalacji jako root:root 0755. DCSF zapisuje prywatną informację, że sam go utworzył.
Ostrożne odinstalowanie
Uninstall usuwa katalog nadrzędny wyłącznie wtedy, gdy utworzył go DCSF i katalog nadal jest pusty. Obce lub niepuste dane pozostają nietknięte.
Runtime JSON::PP
Preflight i kontrola os.pl wymagają JSON::PP. Naprawa korzysta z podpisanej możliwości RPM perl(JSON::PP), pakietu Debian libjson-pp-perl, prywatnego cpanm cPanel lub jawnie włączonego fallbacku systemowego CPAN.
Izolowana kompilacja backendu
Po instalacji ogólnej, lecz przed publikacją lub restartem integracji panelu, adapter wykonuje izolowany test backendu perl -T -c. Błąd zatrzymuje integrację OLSPanel.
Właściwe zasoby panelu
OLSPanel podaje obrazy z uwierzytelnionego drzewa /usr/local/csf/lib/webmin/csf/images, w którym podpisany pakiet umieszcza między innymi ikonę csf.svg.
Jawna zaufana polityka
Backend ładuje /usr/local/csf/lib/ConfigServer/panel-action-policy.json z require_trusted => 1 zamiast używać domyślnej ścieżki CyberPanelu. Cały łańcuch nadrzędny i plik muszą być kontrolowane przez roota i niezapisywalne dla innych.
Test rzeczywistej ramki backendu
Instalator wysyła ograniczone żądanie binarne tylko do odczytu przez rzeczywisty backend w taint mode. Odpowiedź nie może przekroczyć 16 MiB i musi zawierać marker interfejsu DCSF, zanim integracja zostanie opublikowana lub zrestartowana. Po aktualizacji extmail.uck.katowice.pl pełna ścieżka Django do backendu Perla zwróciła HTTP 200.
Maskowane ponowne uwierzytelnienie
Chronione działania używają osobnego okna z ograniczonym polem type="password" zamiast window.prompt(). Escape, przycisk anulowania i kliknięcie tła bezpiecznie przerywają operację, a widoczne pole jest czyszczone natychmiast po przekazaniu danych do żądania.
Działające logi systemowe
Search System Logs i Watch System Logs przyjmują wyłącznie nocache o długości od jednej do dwudziestu cyfr. Stan postępu kończy się po każdej odpowiedzi, błąd pokazuje status HTTP, a produkcyjne testy wyszukiwania i podglądu zwróciły HTTP 200.
Widoczne odpowiedzi chronionych akcji
Przechwycona nawigacja jest deduplikowana, odraczana do następnego obrotu pętli zdarzeń i jawnie wysyłana do _self z widocznym postępem. Quick Allow i zapis konfiguracji zachowują pełną, niepustą odpowiedź zamiast pustej ramki.
Search for IP i Firewall Allow
Testy przez rzeczywisty backend Perla potwierdziły wyszukanie dodanego adresu, listę Firewall Allow oraz kontrolki Done i Return. Tymczasowy wpis testowy został usunięty, a końcowy skrót csf.allow wrócił dokładnie do wartości sprzed testu.
Ograniczony przewijany obszar akcji
Iframe działań pozostaje między 640 a 1200 pikseli, przewija długą treść wewnętrznie i wraca na górę po każdej nawigacji. Test produkcyjny utrzymał zewnętrzną stronę na wysokości 1000 pikseli i pozycji przewijania zero, dzięki czemu wyniki Search for IP, Firewall Allow, Watch System Logs i modal reautoryzacji pozostały widoczne.
DCSF
Panele i środowiska Linux obsługiwane przez DCSF
Każda ścieżka zachowuje oczekiwany sposób administracji CSF/LFD i stosuje tę samą podpisaną, utwardzoną podstawę bezpieczeństwa.
cPanel & WHM
Zachowuje obsługę w WHM i migrację RPM poprzedzoną kopią. W zweryfikowanym EA-Nginx adres klienta pochodzi z nginx na 80/443, a status backendu z Apache na 81/444. Naprawa zależności oddziela /usr/local/cpanel/3rdparty/bin/perl od Perla systemowego.
OLSPanel
Utrzymuje iframe działań OLSPanel między 640 a 1200 pikseli z przewijaniem wewnętrznym i powrotem na górę, aby maskowane uwierzytelnienie, Watch System Logs, Search for IP i Firewall Allow pozostawały widoczne.
DirectAdmin
Korzysta z adaptera DirectAdmin ze wzmocnioną walidacją argumentów, kontrolą zmiany tożsamości i operacjami uprzywilejowanymi bez powłoki.
CyberPanel
Zachowuje integrację CyberPanel, ograniczając operacje uprzywilejowane do uwierzytelnionych żądań POST chronionych przed CSRF.
CWP
Obsługuje dotychczasową ścieżkę administracji Control Web Panel z podpisanym pakietem, limitami parserów i ochroną stanu firewalla.
InterWorx
Integruje się z NodeWorx i wymaga natywnego uprawnienia FIREWALL, blokując konta dodatkowe, które go nie posiadają.
VestaCP
Zachowuje ścieżkę integracji VestaCP z CSF/LFD, stosując wspólne zabezpieczenia wydania, danych wejściowych i odzyskiwania DCSF.
Webmin
Obsługuje administrację CSF/LFD przez Webmin z tym samym utwardzonym zapleczem i podpisanym kanałem aktualizacji.
Generic Linux
Zapewnia bezpośrednią obsługę na wspieranych serwerach RHEL i Debian. Brakujące moduły Perla z zamkniętej listy są naprawiane przez pakiety RPM z GPG lub uwierzytelnione mapowanie APT.
DCSF
Macierz integracji wydania DH20.29
Każda ścieżka została zakwalifikowana przed publikacją podpisanego pakietu. OLSPanel, cPanel i tryb bez panelu mają rozdzielone, zamknięte ścieżki naprawy zależności Perla.
| Środowisko | Sposób integracji | Zakres | Stan |
|---|---|---|---|
| cPanel & WHM | Panel hostingowy i migracja RPM | Zachowuje obsługę w WHM i migrację RPM poprzedzoną kopią. W zweryfikowanym EA-Nginx adres klienta pochodzi z nginx na 80/443, a status backendu z Apache na 81/444. Naprawa zależności oddziela /usr/local/cpanel/3rdparty/bin/perl od Perla systemowego. | Zweryfikowane |
| OLSPanel | Natywny moduł Django i stałe zaplecze uprzywilejowane | Utrzymuje iframe działań OLSPanel między 640 a 1200 pikseli z przewijaniem wewnętrznym i powrotem na górę, aby maskowane uwierzytelnienie, Watch System Logs, Search for IP i Firewall Allow pozostawały widoczne. | Zweryfikowane |
| DirectAdmin | Adapter panelu i most uprawnień | Korzysta z adaptera DirectAdmin ze wzmocnioną walidacją argumentów, kontrolą zmiany tożsamości i operacjami uprzywilejowanymi bez powłoki. | Zweryfikowane |
| CyberPanel | Chroniony adapter panelu WWW | Zachowuje integrację CyberPanel, ograniczając operacje uprzywilejowane do uwierzytelnionych żądań POST chronionych przed CSRF. | Zweryfikowane |
| CWP | Adapter Control Web Panel | Obsługuje dotychczasową ścieżkę administracji Control Web Panel z podpisanym pakietem, limitami parserów i ochroną stanu firewalla. | Zweryfikowane |
| InterWorx | Adapter panelu NodeWorx | Integruje się z NodeWorx i wymaga natywnego uprawnienia FIREWALL, blokując konta dodatkowe, które go nie posiadają. | Zweryfikowane |
| VestaCP | Adapter panelu serwera | Zachowuje ścieżkę integracji VestaCP z CSF/LFD, stosując wspólne zabezpieczenia wydania, danych wejściowych i odzyskiwania DCSF. | Zweryfikowane |
| Webmin | Adapter administracji systemem | Obsługuje administrację CSF/LFD przez Webmin z tym samym utwardzonym zapleczem i podpisanym kanałem aktualizacji. | Zweryfikowane |
| Generic Linux | Administracja CSF/LFD bez panelu | Zapewnia bezpośrednią obsługę na wspieranych serwerach RHEL i Debian. Brakujące moduły Perla z zamkniętej listy są naprawiane przez pakiety RPM z GPG lub uwierzytelnione mapowanie APT. | Zweryfikowane |
DCSF
Serwery WWW obsługiwane przez WebGuard
Adapter dobiera kanoniczną domenę z konfiguracji serwera i odrzuca sam nagłówek Host jako niewystarczający dowód. DH20.29 zachowuje izolację logu OpenLiteSpeed i ograniczony koszt replay.
Kanoniczne vhosty i zweryfikowane proxy cPanel
Adaptery przyjmują tylko kanoniczne vhosty lub skonfigurowane aliasy. W zweryfikowanym cPanel EA-Nginx klienta wskazuje nginx na 80/443, a Apache na 81/444 dostarcza obciążenie backendu. Lokalny adres proxy nie jest kandydatem do blokady.
Twarde limity replay
Replay przyjmuje najwyżej 50 000 linii, działa do 30 sekund i emituje do 2 000 rekordów audytu, podając czy wynik jest kompletny.
Ograniczona korelacja przyczynowa
Bufory audytu mają limit, wyeliminowano skany kwadratowe, a nieuporządkowany czas źródłowy nie uszkadza ruchomego okna vhosta.
Odizolowany log OpenLiteSpeed
Usługa roota kopiuje tylko zweryfikowany log OLS do pliku DCSF ograniczonego do 256 MiB i obracanego przy 128 MiB, poza obcym drzewem logów.
Bezpieczne ustawienia domyślne
WEBGUARD=0 i WEBGUARD_MODE=report utrzymują silnik oraz opcjonalny kolektor wyłączone do czasu sprawdzenia dowodów przez operatora.
Ograniczone egzekwowanie
Tryb enforce może tworzyć tylko tymczasowe reguły dla dokładnego IP, ruchu przychodzącego i wskazanych portów, z ochroną allow, ignore, monitoringu oraz zaufanych proxy i CDN.
DCSF DH20.29
Odświeżony interfejs na desktopie i mobile
Wspólny interfejs cPanel, DirectAdmin, Webmin, InterWorx i trybu samodzielnego otrzymał zwarty nagłówek, czytelne statusy, przejrzyste zakładki, formularze i tabele oraz pełne reguły responsywne.
- Czytelne działania bez zmiany układu
- Responsywne tabele i formularze
- Obsługa trybu ciemnego
- Testy prezentacji desktop i mobile