- Se descapó
- 5 de septiembre de 2026 a las 15:05 UTC
- Autor
- Kamo
- Compromit
- 86421e8
El siguiente no está encontrado es una PÁGINA. Se hace a través del trazado raíz, que resuelve la organización del inquilino a través de la red y serializa toda la shell de la aplicación y catálogo de mensajes de 1.450.309 bytes y 0,5-0.75s de renderizado del servidor, para /backup.new.zip. Así que un escáner de productos que caminaba una lista de palabras de archivo de respaldo no conseguir barato 404s, tiene renders de aplicación completa, y Node ejecuta un bucle de solicitud por proceso. En el 2026-09-05 que fue 1.033 solicitudes de este tipo en 21 minutos. La sonda de vida encendida /api/salud devuelve una cuerda fija y aún así no se pudo responder dentro de su 5s tiempo de tiempo, así que kubelet reinició ambas vainas por estar ocupada en lugar de encajada. A cada una de las solicitudes del escáner se le denegó 572 x 404, 461 x 499 . No se alcanzó nada; era caro, no peligroso. El proxy ahora responde a esos caminos consigo mismo con una cadena fija, usando una lista de DENY de extensiones y prefijos en lugar de una lista de rutas reales: una posibilidad lista tiene que tener razón sobre cada página que tiene esta aplicación y cada una que crece, y estar equivocado sirve un 404 para una pantalla de trabajo. DELIBERATELY no aplicado bajo /api. Esas rutas ya responden a una incógnita camino en unas docenas de bytes sin render, y llevan dominios arrendatarios dentro el camino. E.zip y .sh son verdaderos dominios de nivel superior, por lo que una regla de sufijo allí rechazaría una búsqueda legítima de inquilinos para cualquier cliente que sea el dueño de tal nombre. La prueba pincha esa razón por la que la exención no se elimina más tarde. Dos cosas más expuestas este incidente: El trazado obtuvo su propia organización a través de internet. Se refirió a él. https://$$-host./api/org/... donde el anfitrión es el apodo público del inquilino, así que cada servidor deja el racimo, cruzado a nuestro propio borde y volvió a entrar a través de Traefik para llegar a un manejador en el proceso que hizo la llamada a un TLS apretón de manos y dos traversales de Traefik por página, contados contra los propios del inquilino límite de tarifa. Ahora sobre loopback, llevando x-forwarded-host explícitamente porque el el manejador deriva la base de API de arriba de ella y de lo contrario resolvería cada inquilino de la plataforma por defecto. Un anfitrión que no se resuelve a ninguna organización es también Recordado brevemente: uno de esos inquilinos produjo 538 miradas aguas arriba en 21 minutos, todos re-añadiendo una pregunta con la misma respuesta. Y el contenedor no declaró ningún recurso, que no es "ilimitado" sino El mejor esfuerzo, la primera clase QoS desalojada y la última CPU dada, en un nodo también ejecutar la inferencia de traducción a ocho núcleos. Un límite de CPU sigue siendo deliberadamente omitido: CFS throttling estanca el bucle de eventos en 100ms quanta, y un acelerador La RSS se ve exactamente como una encajada, lo que causaría los reiniciosos Esto lo impide.