Woodpecker CI, la plataforma ligera de CI/CD para entornos autoalojados, ha publicado la versión 3.19 con tres ejes principales: un parche de seguridad que evita la inyección de variables de matriz en el paso de clonación por defecto, nuevas funciones para identificar y gestionar agentes, y mejoras en la estabilidad y gestión de pipelines.
Qué cambia: seguridad, etiquetado de agentes y estabilidad
En materia de seguridad, la actualización corrige un problema por el cual las variables definidas en una matriz podían filtrarse al paso predeterminado de clonación del repositorio. Además, el equipo ha mejorado la sanitización de secretos cuando un pipeline se ejecuta desde la CLI, reduciendo la probabilidad de que credenciales o tokens aparezcan en los registros.
En la parte funcional, Woodpecker 3.19 introduce las etiquetas de agente impuestas por el servidor (server-enforced agent labels). Esta característica permite a los administradores declarar etiquetas en el servidor que determinan cómo se identifican y asignan los agentes a trabajos concretos. Para que la información del agente sea accesible durante la ejecución, se añaden dos variables de entorno de tiempo de ejecución: CI_AGENT_ID y CI_AGENT_LABELS.
Impacto para administradores y operadores
La corrección de la fuga de variables afecta a cualquier instalación que utilice matrices en pipelines y que dependa del paso de clonación por defecto. Los administradores deberían actualizar a 3.19 para evitar riesgo de exposición accidental de variables de entorno definidas en matrices.
La función de etiquetas impuestas por el servidor facilita políticas más estrictas de asignación de agentes: por ejemplo, se puede forzar que ciertos trabajos solo se ejecuten en agentes con etiquetas concretas (hardware, entorno, capacidades). Los operadores que gestionan flotas de agentes pueden aprovechar las nuevas variables CI_AGENT_ID y CI_AGENT_LABELS dentro de los scripts de pipeline para tomar decisiones dinámicas durante la ejecución.
Mejoras operativas y correcciones relevantes
- Soporte para rutas de shell personalizadas en el backend local, útil al ejecutar pipelines directamente en un host con shells en ubicaciones no estándar.
- Soporte configurable de espacio de nombres de usuario por defecto con una opción para anular el comportamiento como no root.
- Dependencias del flujo de trabajo y de pasos ahora se almacenan en la base de datos y están accesibles vía API, lo que mejora la gestión y observabilidad de pipelines complejos.
- Listado de agentes con paginación para evitar sobrecarga en interfaces que consultan muchas instancias.
Correcciones de errores y mejoras en integraciones
Entre las correcciones se incluye la resolución de un problema que hacía desaparecer logs de pasos cuando un pipeline terminaba con workflows marcados como omitidos. Se solucionaron condiciones de carrera relacionadas con el almacenamiento concurrente de la configuración del pipeline y se permitió reiniciar pipelines tras errores ocurridos antes de que la configuración se guardara. También se previno un fallo al mostrar workflows sin pasos.
Las integraciones con servicios de Git han recibido ajustes: Bitbucket Cloud ya no entra en un bucle infinito al paginar hooks; la gestión de estados de commit en GitLab se ha corregido; y la renovación de tokens OAuth ahora recarga la información del usuario desde el almacenamiento antes de proceder.
Kubernetes, local backend y otras mejoras
Para usuarios en Kubernetes, se arreglaron desajustes en volúmenes de workspace al ejecutar desde la CLI y se asegura que la caché del informer está sincronizada antes de comprobar la eliminación de pods. En el backend local se corrigió un fallo que provocaba el cierre del agente cuando un workflow se cancelaba antes de iniciar su primer paso.
Otras modificaciones menores incluyen la desactivación de AutoRun de cmd.exe en Windows durante ejecuciones locales, mejoras en el apagado de agentes, actualización del proyecto a Go 1.27 y la renovación de varias dependencias.
Qué deben hacer los usuarios
Los administradores de instancias de Woodpecker CI deben planificar la actualización a la 3.19 para aplicar el parche de seguridad y beneficiarse de las mejoras en fiabilidad. Quienes usen agentes y políticas de asignación deberían revisar la configuración de etiquetas y, si procede, adaptar los pipelines para leer CI_AGENT_ID y CI_AGENT_LABELS. En entornos Kubernetes o con backends locales, conviene probar pipelines en un entorno de ensayo antes de desplegar en producción.
Para detalles completos sobre todos los cambios y pasos de migración, revise las notas de la versión oficiales.
Lee también:
- Nextcloud Write: editor colaborativo open source que mantiene los documentos en tu infraestructura
- Gitea 28.1.0: actualización de mantenimiento con correcciones de seguridad y regresiones
Fuente: Linuxiac
