Netbird 0.82.0

Güvenlik ve Erişim Kontrolü

• SSH root oturum açma ayarı artık yalnızca root adlı hesaba değil, UID değeri 0 olan tüm hesaplara uygulanıyor. Böylece FreeBSD'deki toor gibi alternatif hesaplar da kapsanıyor. UID değeri ayrıştırılamayan hesaplar ayrıcalıklı olarak değerlendiriliyor.
• SSH istemcilerinden gelen ve path içeren LANGUAGE/LC_*, TERM ve TZ değerleri, oturum için ayrıcalıklı login/su çağrısına ulaşmadan önce reddediliyor.
• Reverse proxy'nin kimlik doğrulama ve erişim log middleware'inde, istekteki hesap ID'sinin servis yapılandırmasıyla eşleşmesi sağlandı.
• Management log'larına yazılan URL'lerdeki kimlik bilgileri artık maskeleniyor.
  İstemci İyileştirmeleri
• Linux ağ izleyicisine varsayılan rota değişikliklerini algılama desteği eklendi.
• File mode'da DNS onarılırken resolv.conf izleyicisinin aktif kalması sağlandı.
• Signal yeniden bağlantı listener'ı kapatılırken oluşan deadlock düzeltildi.
• Her bağlantı sonlandırıldığında disconnect callback'inin çağrılması sağlandı.
• Kubernetes komutlarında PTR kaydı bulunmayan peer'ler artık atlanıyor.
• Windows yükleyicisi dosyaları çıkarmadan önce servis ve kullanıcı arayüzünün durdurulması sağlandı.
• macOS Homebrew cask işlemi, Homebrew kurulum adımlarına taşındı.
• Desktop arayüzü Tailwind CSS 4'e geçirildi, frontend npm audit bulguları düzeltildi ve Wails fork'u v3.0.0 sürümüne yükseltildi.
• Dil seçiciye İbranice eklendi ve kurulum sonrası mesajındaki dil bilgisi hataları düzeltildi.
• Çalışmayan --admin-url flag'i kaldırıldı. Bu flag artık deprecated durumda ve yok sayılıyor.
• wireguard-go güncellendi ve gömülü istemci modülündeki replace directive'leri kaldırıldı.
  Management İyileştirmeleri
• NB_STORE_ENGINE_POSTGRES_REPLICA_DSN ayarlandığında network map veri okumaları artık PostgreSQL read replica üzerinden gerçekleştiriliyor. Bu değer ayarlanmadığında okumalar primary veritabanında kalıyor.
• Gruplar, event'ler, personal access token'lar ve access log'ları için yeni index'ler eklendi. Ayrıca index kullanımına daha uygun inner groups sorgusu, daha hızlı posture check cache'i ve kullanıcılar ile token'lar için daha az last-usage yazma işlemi sayesinde sık kullanılan sorgular hızlandırıldı.
• Entegre bir validator, login işlemi dışında bir peer'in onay durumunu değiştirdiğinde network map'ler artık doğrudan gönderiliyor. Örneğin periyodik bir EDR senkronizasyonunda yeni onaylanan peer'in ilgisiz başka bir güncellemeyi beklemesi gerekmiyor.
• /api/setup owner hesabına single account mode domain'i atandı. Böylece ilk JIT kullanıcısı kendisine ayrı bir hesap oluşturmak yerine mevcut hesaba katılıyor.
• Service user davetlerinde davet eden kullanıcı olarak account owner kullanılmaya başlandı.
• GetAllPeers çağrısına pagination desteği eklendi.
• Zaten zamanlanmış bir job bulunduğunda bağlantı sırasında inactivity expiration yeniden taraması artık atlanıyor. Ayrıca artık mevcut olmayan hesapların peer expiration işlemleri iptal ediliyor.
• Boş bir network map döndürülürken oluşabilecek nil peer durumu ele alındı.
• Peer metadata string'lerindeki NUL byte'ları temizleniyor.

Değişiklikler

• [İstemci] SSH oturum istekleri ve kanalları için doğrulama ve sınırlandırma eklendi.
• [İstemci] SSH oturum istek kuyruğu sınırlandırıldı ve yeniden boyutlandırma işlemlerinin oturum döngüsünü engellemesi önlendi.

Değişiklikler​

• Client: PKCS#11 package build’lerinde SSH privilege’larının libc üzerinden düşürülmesi sağlandı.
• Client, Proxy, Management, Signal, Relay: Ele geçirilmiş eMudhra CA key’lerine olan güven kaldırıldı.
• Client: PKCS#11 package build’lerinde SSH privilege’larının libc üzerinden düşürülmesi sağlandı.

Değişiklikler​

• Client: Signal stream registration için bekleme süresi sınırlandırıldı ve registration state’in stream health durumuna göre takip edilmesi sağlandı.
• Client, Relay: quic-go v0.64.0 sürümüne güncellendi.

Sürüm: 0.81.2

Client: Interface discovery işlemi bind open path’inden çıkarıldı.

Sürüm: 0.81.0

v0.80.0 Sürüm Notları​

Yenilikler​

Güvenlik ve Erişim Kontrolü​

• Bir agent network gateway’inin başka bir hesaba ait host’a sabitlenmesi engellendi. Gateway atamalarına hesaplar arası doğrulama eklendi.
• Agent Network başlatılırken proxy cluster doğrulanıyor. Böylece bir agent network’ün başka bir hesaba ait proxy cluster üzerinde başlatılması engelleniyor.
• IdP client’larında HTTP yönlendirmeleri reddediliyor. Identity provider entegrasyonlarına yönelik open redirect saldırıları engelleniyor.
• Yerleşik IdP parolası değiştirildiğinde yerel Dex session’ı iptal ediliyor. Böylece kimlik bilgileri güncellendiğinde mevcut session’lar doğru şekilde geçersiz kılınıyor.
• Dosya yükleme endpoint’lerine upload URL imzalama ve rate limiting desteği eklendi.

İstemci İyileştirmeleri​

• Kurulum betiği indirmeleri özel bir geçici dizinde hazırlanıyor. Böylece kurulumdan önce başka işlemlerin indirilen dosyalara müdahale etmesi engelleniyor.
• Kurulum betiği indirmelerinde HTTPS zorunlu hâle getirildi. Tüm istemci indirmeleri güvenli bağlantılar üzerinden gerçekleştiriliyor.
• Relay bağlantısı koptuğunda peer’ların bilgilendirilmemesi düzeltildi. Bu sorun relay bağlantısı kesildikten sonra güncelliğini yitirmiş peer durumlarının kalmasına neden olabiliyordu.
• Session deadline değerinin status read lock altında okunması düzeltildi ve olası bir race condition engellendi.
• Windows kapatma sürecinde boş GPO DNS policy store kaldırılıyor, böylece istemci kapandığında geride kalan DNS policy girdileri temizleniyor.
• Shared socket source address, bağlı bir UDP probe socket üzerinden çözümleniyor. Shared socket modunda kaynak adresinin çözümlenmesi düzeltildi.
• Windows’ta kaydedilmiş servis parametreleri doğrulanıyor ve netsh lookup sabitleniyor, böylece servis yapılandırma yolu daha güvenli hâle getirildi.
• Windows’ta JSON dosyalarının okunup yazılmasında POSIX tarzı dosya işlemleri kullanılmaya başlandı; çapraz platform config dosyası yönetimi geliştirildi.
• Daemon IPC alma sınırı 16 MB’a yükseltildi. Böylece gRPC’nin varsayılanıyla eşleşiyor ve büyük mesajların kesilmesi engelleniyor.
• Firewall yapılandırılmamışsa route firewall kuralı hesaplaması atlanıyor, gereksiz işlemler önleniyor.
• Device dump işleminin yalnızca hedef endpoint yerine tüm peer endpoint’lerini temizlemesi düzeltildi. Bu hata diğer peer bağlantılarını da bozabiliyordu.
• Windows IPC privilege kontrolü düzeltildi. Artık yalnızca LocalSystem SID üzerinden ayrıcalıklı kimlik olarak kabul ediliyor. Local Service ve Network Service diğer tüm çağıranlarla aynı kontrollerden geçiyor.
• Masaüstü arayüzü için Wails v3.0.0-beta.25 sürümüne yükseltildi.

Yönetim İyileştirmeleri​

• Test store kurulumu hızlandırıldı ve unit test çalıştırmaları özetleniyor, CI performansı geliştirildi.
• Peer bağlantı IP’si alınırken X-Real-IP okunuyor, reverse proxy arkasındaki kurulumlar destekleniyor.
• Trusted peer yapılandırılmamışsa hata oluşmasını önlemek için boş trusted peer durumu işlendi.
• Bekleyen onay hatasında artık hesap sahibinin adı gösteriliyor, böylece hesap onayı için kiminle iletişim kurulması gerektiği açıkça belirtiliyor.
• Group resource validation düzeltildi ve kuralların doğru uygulanması sağlandı.
• Public ID’ye göre filtreleme için store desteği eklendi.
• Takip ve hata ayıklama amacıyla bağlantı sırasında proxy sürümü kaydediliyor.
• Daha iyi veritabanı performansı ve organizasyon için store tablolara göre bölündü.
• Servisler tarafından kullanılan özel domain’lerin silinmesi engellendi, aktif proxy yapılandırmalarının yanlışlıkla bozulmasının önüne geçildi.
• Rate limiter, servisler arasında yeniden kullanılabilmesi için ortak pakete taşındı.
• usage_viewer artık Agent Network erişim log’larını okuyabiliyor; böylece maliyet kullanımını inceleyen kullanıcılar, kullanım metriklerinin arkasındaki istekleri de görebiliyor.

Reverse Proxy​

• Private service erişimi reddedildiğinde bağlantıyı açık bırakmak yerine istemci bağlantısı kapatılıyor.
• Kötüye kullanımı önlemek için proxy rate limiter eklendi.
• Kimlik doğrulama denemelerini sınırlamak için management tarafına proxy credentials limiter eklendi.
• Upstream HTTP version’ın transport’lar clone edilmeden önce uygulanması düzeltildi.
• Proxy için release’e bağlı UBI image varyantı eklendi.
• External Relay migration’larında flow auth secret düzeltildi.

Altyapı ve CI​

• Red Hat ekosistemi uyumluluğu için rootless UBI istemci image’ı sürüm sırasında sertifikalandırılıyor.
• Red Hat yazılım sertifikasyonu için RPM metadata düzeltildi.
• Enterprise setup’a proxy desteği eklendi.
• Daha güvenli bir container image için upload server kaynak koddan, Chainguard üzerinde nonroot olarak derleniyor.
• Android için mobil Go kodu CI içinde derleniyor ve lint işleminden geçiriliyor.
• Workflow action’ları artık kullanımdan kaldırılmış Node 20 runtime’ını kullanmıyor.
• Management, signal ve proxy servislerine Pyroscope profiling eklendi.
• Agent-config e2e provider’ları mock upstream’e yönlendirildi.
• S3 upload testi için Silo image kullanılmaya başlandı.

Diğer​

• Bug raporları Discussions’a yönlendirildi ve SUPPORT.md eklendi.
• Public OpenAPI tanımına REST client ile birlikte cloud API spec eklendi.
• AGENTS.md her session’da yükleniyor ve attribution trailer’lar reddediliyor.

Değişiklikler​

• management: Test store kurulumu hızlandırıldı ve unit test çalıştırması özetlendi.
• management: Bir agent network gateway’inin başka bir hesaba ait host’a sabitlenmesi engellendi.
• management: Agent network’ün başlatıldığı proxy cluster doğrulanıyor.
• management: Agent-config e2e provider’ları mock upstream’e yönlendirildi.
• client: Kurulum betiği indirmeleri özel bir geçici dizinde hazırlanıyor.
• client: Session deadline değeri status read lock altında okunuyor.
• client: Kurulum betiği indirmelerinde HTTPS zorunlu hâle getirildi.
• misc: AGENTS.md her session’da yükleniyor ve attribution trailer’lar reddediliyor.
• client: Red Hat yazılım sertifikasyonu için gerekli RPM metadata eklendi.
• management: Peer bağlantı IP’si alınırken X-Real-IP okunuyor.
• management: Boş trusted peer durumu destekleniyor.
• proxy: Private service reddedildiğinde istemci bağlantısı kapatılıyor.
• management: Bekleyen onay hatasında hesap sahibinin adı gösteriliyor.
• proxy: Proxy rate limiter eklendi.
• management: Management tarafına proxy credentials limiter eklendi.
• client: Relay bağlantısı koptuğunda peer’ların bilgilendirilmemesi düzeltildi.
• management: Group resource validation düzeltildi.
• client: Windows kapatma sürecinde boş GPO DNS policy store kaldırılıyor.