Microsoft выпустила масштабное обновление для Azure Linux, включив более 470 исправлений CVE в один релиз, поскольку постоянно растущая лавина уязвимостей в индустрии программного обеспечения демонстрирует мало признаков сокращения.
На выходных Microsoft выпустила Azure Linux 3.0.2022 с исправлениями, охватывающими всё — от ядра Linux до пакетов с открытым исходным кодом и контейнерного ПО. Список изменений насчитывает сотни пунктов, так что любой, кто планирует прочитать его целиком, может поставить чайник.
В примечаниях к выпуску Microsoft содержится более 470 ссылок на CVE, хотя некоторые уязвимости появляются несколько раз, поскольку они затрагивают разные пакеты. Так что это не обязательно 470 отдельных уязвимостей, но это всё равно впечатляющее количество исправлений для одного релиза.
Исправления охватывают OpenSSL, curl, Kubernetes, Docker, QEMU и длинный список других пакетов, которые лежат в основе современных сред Linux. Общее ядро Linux обновлено до версии 6.6.161.1.
Также была проведена некоторая работа по устранению последствий инцидента с сертификатами eMudhra, отслеживаемого как CVE-2026-114406. Microsoft удалила или отозвала корневые сертификаты, которые могли бы подтверждать скомпрометированные промежуточные сертификаты eMudhra, добавив при этом проверки в Python и Go для отклонения затронутых сертификатов. Также было сохранено доверие SSL.com TLS там, где это требовалось, предположительно, чтобы не создавать новую проблему с сертификатами, исправляя одну.
Контейнерная инфраструктура также получила много внимания: исправления охватывают KubeVirt, containerd, Docker Compose и другие компоненты, используемые для обеспечения работы облачных нагрузок. Несколько CVE повторяются в этих пакетах, что помогает объяснить поразительное количество записей в журнале изменений.
Релиз включает и менее ориентированные на безопасность изменения, такие как новые Dockerfile, патч OpenVMM для поддержки конфиденциальных вычислений, исправления зависаний systemd и корректировки метаданных GRUB Secure Boot.
Масштабный релиз выходит на фоне всплеска обнаружения уязвимостей, подпитываемого ИИ, который заставляет разработчиков изо всех сил справляться с объёмом работы по исправлению. Как The Register сообщал ранее сегодня, создатель Linux Линус Торвальдс считает, что наконец-то появились признаки того, что поток утихает, по крайней мере, в некоторых уголках ядра.
Торвальдс заявил, что исправления теперь поступают быстрее, чем новые сообщения об ошибках в подсистеме eBPF ядра, хотя он отметил, что большинство других областей ещё не достигли этой точки. Достигло ли более широкое программное обеспечение этой точки — другой вопрос, и Microsoft не сообщила, способствовало ли исследование с использованием ИИ уязвимостям, устранённым в этом релизе.
Azure Linux, ранее известный как CBL-Mariner, — это собственное дистрибутив Linux от Microsoft, разработанный в первую очередь для её облачной инфраструктуры и сервисов. Это делает поддержание множества его компонентов в актуальном состоянии гораздо более важным, чем может показаться скромное увеличение номера версии.
И судя по объёму последнего журнала изменений, команды по исправлению ошибок Microsoft вряд ли скоро смогут расслабиться. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Carly Page
