In questo articolo Indice dei contenuti 2 sezioni
Microsoft ha distribuito un aggiornamento decisamente corposo per Azure Linux, la distribuzione sviluppata internamente per sostenere una parte della propria infrastruttura cloud. Il pacchetto interviene in un colpo solo su centinaia di vulnerabilità e tocca componenti centrali del sistema, dalle librerie crittografiche fino agli strumenti usati per gestire le applicazioni containerizzate.
Già le dimensioni dell’operazione mostrano quanto lavoro serva per tenere al sicuro ambienti software fatti di tanti elementi che dipendono l’uno dall’altro. Le note di rilascio elencano centinaia di riferimenti a falle, ma quel numero va letto con una certa cautela perché non coincide automaticamente con altrettanti problemi distinti. Dentro il rilascio trovano spazio anche modifiche alla gestione dei certificati digitali e alla manutenzione generale della piattaforma.
Oltre 470 CVE e un kernel aggiornato per Azure Linux
La versione Azure Linux 3.0.2022 contiene oltre 470 riferimenti CVE, il sistema con cui vengono identificate e catalogate le vulnerabilità conosciute. Alcune voci compaiono più di una volta perché la stessa debolezza può riguardare pacchetti differenti, quindi il totale non equivale al numero di difetti indipendenti sistemati. Si parla comunque di un intervento di ampia portata, che coinvolge una fetta consistente dello stack software. Nell’elenco dei componenti interessati figurano OpenSSL, curl, Kubernetes, Docker e QEMU, mentre il kernel Linux generico passa alla versione 6.6.161.1.
Un lavoro così esteso fa capire bene quanto la protezione di una distribuzione dipenda dalla manutenzione coordinata di parti con funzioni molto diverse tra loro, che vanno dalla sicurezza delle comunicazioni alla gestione dei carichi di lavoro.
Una cura particolare è stata riservata all’ecosistema dei container. Le correzioni riguardano KubeVirt, containerd e Docker Compose, strumenti che servono a creare, eseguire e orchestrare le applicazioni. Per chi amministra questi sistemi il rilascio va quindi considerato come una modifica capace di toccare l’intera catena di distribuzione dei servizi. Prima di installarlo negli ambienti di produzione diventano importanti le verifiche di compatibilità, così da evitare interruzioni impreviste.
Certificati eMudhra e interventi sulla piattaforma
Il pacchetto affronta anche la questione dei certificati eMudhra, legata a un identificativo CVE dedicato. Microsoft ha rimosso oppure segnato come non attendibili alcuni certificati radice che avrebbero potuto convalidare certificati intermedi compromessi. Sono stati poi aggiunti controlli in Python e Go per bloccare l’accettazione dei certificati coinvolti. Allo stesso tempo l’azienda ha mantenuto la fiducia TLS verso SSL.com nei casi in cui era necessaria, così da non compromettere collegamenti del tutto legittimi.
Non tutte le novità dell’aggiornamento hanno a che fare direttamente con la sicurezza. Il rilascio porta nuovi Dockerfile, un intervento su OpenVMM per il supporto al confidential computing, alcune correzioni ai blocchi di systemd e un aggiornamento ai metadati di GRUB Secure Boot. Sono cambiamenti pensati per la manutenzione e per l’affidabilità complessiva della piattaforma.
Il maxi pacchetto di correzioni per Azure Linux arriva in un periodo in cui la scoperta di vulnerabilità assistita dall’intelligenza artificiale sta aumentando il carico di lavoro dei gruppi che mantengono il software. Linus Torvalds ha notato segnali di rallentamento nel flusso di correzioni relativo a eBPF, senza però estendere questa valutazione a tutte le aree del kernel. Microsoft, dal canto suo, non ha chiarito se la ricerca supportata dall’intelligenza artificiale abbia avuto un ruolo nell’individuare i problemi risolti con questo rilascio.
Fonte: TecnoAndroid