Релизы

v1.0.25

Безопасность

• Исправлены уязвимости в образе Prometheus: CVE-2026-46595, CVE-2026-56854, CVE-2026-56855, CVE-2026-78662, CVE-2026-84303, CVE-2026-84304, CVE-2026-84445, GHSA-w67g-5rqw-f597 и CVE-2026-81870.
• Исправлены уязвимости в Grafana: CVE-2026-42129 и CVE-2026-10601 (обход пути в источнике данных Loki) и CVE-2026-42127 (отказ в обслуживании в обработчике запросов публичных дашбордов).

v1.0.24

Изменения

• Внешние Alertmanager больше не обнаруживаются через Service с лейблом prometheus.deckhouse.io/alertmanager: main. Этот устаревший способ удалён; такой Alertmanager нужно описать ресурсом CustomAlertmanager через spec.external.service.

Безопасность

• Клиентский сертификат для сбора метрик с пользовательских таргетов. Prometheus теперь аутентифицируется на пользовательских HTTPS-таргетах клиентским TLS-сертификатом, выпущенным CA kube-rbac-proxy платформы. CA автоматически доставляется ConfigMap-ом prometheus-custom-scraper-ca.crt в каждый namespace, где есть HTTPS-таргет, чтобы kube-rbac-proxy перед приложением мог проверить сертификат через --client-ca-file. На переходный период bearer-токен по-прежнему отправляется, поэтому существующие настройки продолжают работать; как перейти на сертификат, описано в FAQ.
• Поля spec.external.address и spec.external.service.path ресурса CustomAlertmanager теперь валидируются: принимаются только адреса http и https без учётных данных и управляющих символов, а путь может содержать только обычные символы URL-пути. Ресурс, не прошедший валидацию или ссылающийся на несуществующий Service, пропускается с предупреждением и больше не блокирует работу модуля.
• Учётные данные в ресурсах CustomAlertmanager, PrometheusRemoteWrite, GrafanaAlertsChannel и GrafanaAdditionalDatasource (пароли, токены, TLS-ключи) теперь скрываются от пользователей, у которых нет прав на чтение чувствительных данных.
• Исправлены уязвимости в образах компонентов модуля (Alertmanager, Grafana, Mimir, Promxy, Memcached) и в хуках модуля: CVE-2026-46595, CVE-2026-56854, CVE-2026-56855, CVE-2026-78662, CVE-2026-84304, CVE-2026-84445, CVE-2026-81870, CVE-2026-76905, CVE-2026-73502, CVE-2025-30153, CVE-2024-8986.

v1.0.23

Исправления

• Исправлены неверные ссылки на Prometheus и Alertmanager из Grafana.

v1.0.22

Безопасность

• Init-контейнер prompptool в подах Prometheus теперь запускается с корневой файловой системой только для чтения, как требует политика Pod Security Standard уровня Restricted.

v1.0.21

Исправления

• Исправлена ошибка рендеринга шаблонов модуля в режиме HTTPS CustomCertificate, когда данные пользовательского сертификата ещё не получены. Секрет с TLS-сертификатом теперь создаётся только после того, как сертификат появился.

v1.0.20

Исправления

• Исправлено переключение Prometheus на движок prompp.

v1.0.19

Безопасность

• Улучшена безопасность шаблонов модуля.
• Рабочие нагрузки Prometheus и Alertmanager приведены в соответствие с политикой Pod Security Standard уровня Restricted.

Новые возможности

• Пробы startup, readiness и liveness для инстансов Prometheus main и longterm теперь задаются явно, с таймаутом на команду проверки.

Изменения

• К метрикам, собираемым с компонентов модуля (Prometheus, Grafana, Memcached, Trickster, агрегирующий прокси), добавлен лейбл d8_source="dkp".

Исправления

• Исправлено описание расчёта retentionSize в документации модуля: фактическая формула — max(pvc_size * 0.85, pvc_size - 50 GiB), а для расчёта используется значение поля .spec.resources.requests.storage PersistentVolumeClaim.