4.1.6

4.1.6 tiếp nối 4.1.5. Bản này sửa các lỗi mà bài kiểm tra trực tiếp hằng tuần mới (cài đặt và cập nhật thật trên máy chủ dùng một lần) phát hiện trong 4.1.4 và 4.1.5: trả lời tự động và thư của tài khoản sau khi cập nhật, đăng nhập vào các cổng, đăng nhập một lần vào phpMyAdmin trên AlmaLinux, và tạo cơ sở dữ liệu trên MariaDB 11.8. Bản này cũng chuyển CLI sang ureq 3, nên bước quét advisory Rust không còn bỏ qua advisory nào, và giúp thao tác xoá cache của chính một website WordPress hoạt động trên cache đã bảo mật.

Ghi chú nâng cấp và thay đổi hành vi​

• Bản cài mới giờ đóng /etc/hitechcloud với các tài khoản hosting ngay khi cài, giống như bản cập nhật vẫn làm. Trước đây máy chủ mới cài để thư mục này mở (0755) cho tới lần cập nhật đầu tiên, và chính lần cập nhật đó gây ra các lỗi thư bên dưới. Chỉ các dịch vụ cần thiết được đi qua: người dùng phân phối thư vmail và nhóm postdrop nay nằm trong số đó. (hitechcloudcli#486)
• WP Helper chuyển sang /usr/local/lib/hitechcloud/wp-helper (thuộc root, mọi người chỉ đọc). WordPress cài từ bảng điều khiển sao chép từ đây. Bản cũ trong /etc/hitechcloud/wordpress/plugins vẫn được ghi. (hitechcloudcli#486)
• Các bước cập nhật mới: wp-helper, cache-wp-flush và panel-db. Unit socket mới hitechcloud-cacheflush.socket phục vụ thao tác xoá cache của chính một website WordPress. Bản cập nhật cũng tạo /etc/hitechcloud/portals/bff.env (chỉ root, 0600), mà các cổng sẽ dùng từ 4.2. (hitechcloudcli#484, #485, #486, #488)

Đã sửa​

• Trả lời tự động không gửi thư nào sau khi cập nhật lên 4.1.5, và các quy tắc Sieve toàn máy chủ chạy trước khi phân phối bị bỏ qua với mọi thư (Ubuntu và Debian; quy tắc trước phân phối cả trên AlmaLinux). Bản cập nhật đã đóng /etc/hitechcloud mà không cho người dùng phân phối thư đi qua. Bản cập nhật tiếp theo sửa các máy chủ hiện có. (hitechcloudcli#486)
• Thư do website và cron job của chính các tài khoản hosting gửi (PHP mail(), sendmail) bị lỗi "Permission denied" trên máy chủ Ubuntu và Debian đã cập nhật lên 4.1.5. (hitechcloudcli#486)
• WordPress cài từ bảng điều khiển sau khi cập nhật không có WP Helper (plugin tự đăng nhập SiteManager), trên mọi hệ điều hành. Việc cài vẫn báo "hoàn tất". (hitechcloudcli#486)
• Các cổng Mail, DNS và S3 từ chối mọi lần đăng nhập bằng HTTP 500 khi truy cập qua địa chỉ mặc định (https://<tên máy chủ>:2091, 2092, 2093). Lỗi làm hỏng cả đăng nhập một lần "Mở cổng" từ 2083 lẫn biểu mẫu đăng nhập của chính cổng (4.1.4, 4.1.5). Front-end giờ chuyển tiếp đúng địa chỉ trình duyệt đã dùng, kèm cổng. Yêu cầu từ trang khác hoặc từ cổng khác vẫn bị từ chối. Bản cập nhật sửa các máy chủ hiện có. (HiTechCloud-Panel#1809)
• Đăng nhập một lần vào phpMyAdmin từ 2083 lại mở form đăng nhập của phpMyAdmin trên AlmaLinux và RHEL (4.1.4, 4.1.5). Gói EPEL đóng thư mục cấu hình với mọi người trừ root và nhóm apache, nên phpMyAdmin không đọc được cấu hình. Nay người dùng riêng của phpMyAdmin được một ACL cho phép đi qua thư mục đó (chỉ quyền thực thi), ngoài ra không ai khác. (hitechcloudcli#487)
• 2083 không tạo được cơ sở dữ liệu MySQL trên Debian 13 và Ubuntu 26.04 (MariaDB 11.8). MariaDB 11.3 đã thêm quyền SHOW CREATE ROUTINE vào "ALL PRIVILEGES" trên một cơ sở dữ liệu, mà tài khoản cơ sở dữ liệu của panel không có quyền này, nên việc cấp quyền cho tài khoản bị từ chối và cơ sở dữ liệu bị xoá lại. Giờ tài khoản của panel được cấp mọi quyền cấp cơ sở dữ liệu mà máy chủ hỗ trợ, và không thêm quyền nào khác. (hitechcloudcli#488)
• Trên cache đã bảo mật, thao tác xoá object cache của chính một website WordPress không có tác dụng. Nút Flush Cache và wp cache flush bị lỗi, còn Bật/Tắt trong wp-admin để lại dữ liệu cũ. Giờ các thao tác này xoá đúng và chỉ các khoá của website đó thông qua panel: một dịch vụ chạy bằng root lấy tài khoản từ kernel và chỉ xoá theo tiền tố riêng của website đó, mỗi tài khoản một lần xoá tại một thời điểm. (hitechcloudcli#485)
• 2087 không còn cố giữ quyền thực thi khi khởi động cho năm tệp mà không bản cài đặt nào cung cấp (/etc/hitechcloud/wordpress/wp-cli.phar cũ, csf.pl trong /usr/local/admin/modules và ba script của bản container). (hitechcloudadmin#326)

Bảo mật​

• Chứng chỉ gốc TLS: không còn bỏ qua advisory nào (RUSTSEC-2026-0381). Thư viện HTTP của CLI chuyển từ ureq 2 sang ureq 3, nên webpki-roots 0.26, wrapper mà ureq 2 yêu cầu, không còn trong lockfile nào, và bước quét advisory Rust nay không bỏ qua advisory nào. Mọi yêu cầu vẫn hoạt động như trước: cùng thời gian chờ, chuyển hướng, cách xử lý mã trạng thái, ghim chứng chỉ và giới hạn kích thước nội dung, và không dùng proxy lấy từ biến môi trường. Các lệnh gọi webmail (kết thúc phiên, xóa dữ liệu, xuất, nhập) đã được kiểm tra trên máy chủ thật. Kiểm tra mức tối thiểu nay cũng từ chối mọi webpki-roots 0.x. (hitechcloudcli#483, HiTechCloud-Panel#1807)
• Bản cài mới đóng /etc/hitechcloud với các tài khoản hosting ngay từ đầu (xem Ghi chú nâng cấp). (hitechcloudcli#486)

Thay đổi​

• Bài kiểm tra trực tiếp hằng tuần với cài đặt và cập nhật thật nay kiểm tra thêm đăng nhập hai bước của 2083, chuyển đổi tài khoản, việc từ chối quản trị viên được ủy quyền, cài WordPress, sao chép cơ sở dữ liệu, trình quản lý tệp và cấp chứng chỉ AutoSSL (với máy chủ ACME thử nghiệm cục bộ). (HiTechCloud-Panel#1803, #1808, #1810)

Hạn chế đã biết​

• Trên AlmaLinux bật SELinux ở chế độ enforcing (chưa kiểm tra), PHP có thể bị từ chối kết nối tới socket xoá cache. Khi đó thao tác xoá cache của website WordPress hoạt động như trong 4.1.5.
• Greylisting vẫn tắt trên Ubuntu 22.04 và Debian 12 khi bộ nhớ đệm được bảo mật, vì rspamd của chúng không đăng nhập được bằng tên người dùng (xem 4.1.4).