26 октября вышел PeerTube 8.3.2, корректирующий выпуск децентрализованной видеоплатформы. Разработчики обновили уязвимую библиотеку обработки изображений sharp и закрыли ошибку проверки удалённых участников федерации. На Mentoring.digital разбираем, почему администратору стоит проверить установленную версию и зависимости.
Почему обновили обработку изображений
Первое исправление связано с librsvg, которую использует sharp для SVG. В предупреждении sharp указано, что при определённых условиях выполнения на Linux с glibc ошибка памяти может привести к удалённому выполнению кода. Это условная возможность, а не утверждение, что любой сервер с SVG уже скомпрометирован.
Для готовых бинарных сборок sharp исправление поставляется в версии 0.35.5 вместе с librsvg 2.63.2. Если приложение использует отдельно установленную системную librsvg, её состояние нужно проверять отдельно: обновление записи в списке npm-зависимостей само по себе не подтверждает версию загруженной системной библиотеки.
Что меняется в федерации PeerTube
Вторая проблема затрагивает версии PeerTube ниже 8.3.2. При получении объектов ActivityPub сервер следовал перенаправлению на другой хост, но не сверял личность участника с хостом, который фактически вернул ответ. В результате чужой сервер мог выдать себя за участника другого экземпляра PeerTube.
На серверах, где размещена федеративная копия видео, это позволяло менять метаданные и адреса видеофайлов либо удалять такую копию. Исходные видео на сервере владельца не изменялись. Исправление запрещает переход на другой хост при получении объектов ActivityPub.
Что проверить после обновления
Сначала уточните версию работающего экземпляра и способ установки. Затем подготовьте резервную копию и выполните обновление по процедуре своего развёртывания. После запуска проверьте обычную загрузку изображения, воспроизведение видео и получение данных от знакомого удалённого сервера.
В выпуск также вошли исправления установки whisper-ctranslate2 на Python 3.12 и новее, скачивания аудио с WebP-миниатюрой и ограничения ресурсов при создании миниатюр. Для команды это повод проверить весь путь обработки медиа, а не только открытие главной страницы. План обновления сервиса и проверку зависимостей можно разобрать с наставником по DevOps.
