Выпущена VictoriaMetrics 1.153.0

28 сентября 2026 года вышла VictoriaMetrics 1.153.0. В выпуске исправлены проблемы безопасности, добавлена поддержка OIDC SSO в vmauth, улучшены vmalert, vmui, direct ingestion в vmstorage и работа с Unix-сокетами.

Важное предупреждение

В этой версии обнаружена проблема в сборках без CGO, то есть в pure Go-сборках. vmsingle, vmstorage, vmselect, vminsert в кластерной версии и vmagent могут не читать корректные блоки данных и возвращать ошибку window size exceeded.

Это может ломать запросы, фоновые слияния, native import, а также приводить к аварийному завершению vmsingle и vmstorage.

Затронуты официальные сборки для darwin, windows, freebsd, openbsd, linux/arm, linux/ppc64le, linux/386, linux/s390x, а также сборки с суффиксом -pure. Сборки linux/amd64 и linux/arm64 используют CGO и не затронуты.

Пользователям затронутых сборок рекомендуется не обновляться до VictoriaMetrics 1.153.0 или откатиться на 1.152.0.

Исправления безопасности

В vminsert, vmagent и vmsingle теперь корректно применяются ограничения памяти к zstd-сжатым блокам, принимаемым через native import. Это защищает от чрезмерного выделения памяти при обработке специально сформированных запросов.
В vmauth HTTP-клиент OIDC Discovery теперь ограничивает redirects исходным host запроса. Это снижает риск небезопасных перенаправлений при работе с OIDC.
Базовый Docker-образ Alpine обновлён с версии 3.24.1 до 3.24.2.

Новые возможности

В vmalert убран лишний переход в состояние pending, если после перезапуска alert можно сразу восстановить в состояние firing.
В vmauth добавлено более информативное сообщение в логах, когда JWT token не содержит claim vm_access, а default_vm_access_claim не настроен. Сообщение выводится при включённом -logInvalidAuthTokens.
Дашборд vmauth обновлён до актуальной версии из upstream Grafana. Также исправлены опечатки, устранены несоответствия и улучшены панели использования ресурсов.
В vmauth появилась поддержка вывода HTTP-заголовков в access logs. В журналы попадают только заголовки, явно перечисленные в access_log.headers. Это помогает разбирать проблемы в цепочках, где поведение зависит от HTTP headers.
В vmui элементы auto-refresh перенесены из заголовка в выпадающее меню кнопки Execute. Выбранный интервал теперь показывается в тексте кнопки.
Кластерный vmstorage научился напрямую принимать данные по протоколу Prometheus Remote Write v1. Возможность выключена по умолчанию и включается флагом -enableIngestionAPI.
В vmauth добавлена поддержка Single sign-on через OpenID Connect. Для неаутентифицированных browser-запросов vmauth перенаправляет пользователя к настроенному Identity Provider, проверяет ответ и устанавливает session cookie для следующих запросов.
В vmsingle и кластерном vmstorage добавлены опциональные подсказки fadvise(FADV_RANDOM) и madvise(MADV_RANDOM) для файлов data parts. Они могут снизить disk I/O и повысить эффективность page cache. Включить поведение можно параметром -fs.disableAdviseRandomRead=false.

Исправления ошибок

Во всех компонентах VictoriaMetrics Unix-сокет для -httpListenAddr=unix:/path/to/socket теперь создаётся с правами согласно umask процесса. Раньше сокет всегда создавался с правами 0600, из-за чего процессы под другими пользователями, например reverse proxy, не могли к нему подключиться.
В stream aggregation samples снова отправляются в aggregation jobs последовательно. Это снижает нагрузку на CPU: предыдущая параллельная обработка давала почти незаметное сокращение задержки, но добавляла лишние расходы.
В vmagent в ответы InfluxDB API добавлен отсутствовавший HTTP-заголовок X-Influxdb-Version.
В vmagent отключена отправка metadata metrics для MDX remote write destinations.
В vmagent и vmsingle исправлено обнаружение targets из *_sd_config. Раньше, если *_sd_config возвращал пустой список targets, старые scrape targets сохранялись до перезапуска процесса.
В vmagent корректно перезагружается SSL-сертификат для Kafka producer и consumer.
В vmalert исправлена перезагрузка alert_relabel_configs из конфигурации notifier. Раньше эта настройка применялась только при старте и не обновлялась при reload.
vmselect, vminsert, vmagent и vmsingle теперь игнорируют пустые query args extra_label, extra_filters и extra_filters[] вместо возврата ошибки. Это позволяет через url_prefix в vmauth сбрасывать значения, переданные клиентом.
В vmauth при обнаружении backend IPs через discover_backend_ips или -discoverBackendIPs теперь учитывается флаг -enableTCP6. Раньше IPv6-адреса попадали в discovery даже при отключённой поддержке IPv6.
В vmui исправлена синхронизация custom query step с изменениями URL на странице predefined dashboards.
В vmsingle и кластерном vmselect немного снижено потребление CPU при одновременном выполнении запросов.

Источник: заметки о выпуске VictoriaMetrics 1.153.0.