Microsoft Azure Linux Güncellemesi 470’den Fazla CVE Düzeltmesi İçeriyor
Microsoft, Azure Linux 3.0.2022 sürümüyle işletim sisteminin çekirdeğinden konteyner altyapısına kadar uzanan 470’ten fazla CVE kaydını kapsayan kapsamlı bir güvenlik güncellemesi yayınladı. Hafta sonunda dağıtıma çıkan sürüm, OpenSSL, curl, Kubernetes, Docker, QEMU gibi çok sayıda bileşene yönelik güvenlik yamaları içeriyor. Güncelleme ayrıca eMudhra sertifika ihlalinin ardından güvenilmeyen kök sertifikalara yönelik düzenlemelerle birlikte sanallaştırma ve sistem yönetimi alanında çeşitli iyileştirmeler getiriyor.
Microsoft Azure Linux Paketinde Yüzlerce Güvenlik Kaydını Ele Aldı
Microsoft’un yayınladığı Azure Linux 3.0.2022 sürümünün değişiklik listesi, 470’ten fazla CVE referansıyla işletim sisteminin geniş bir bileşen grubunu kapsıyor. Söz konusu sayı, doğrudan 470 ayrı güvenlik açığı bulunduğu anlamına gelmiyor. Bazı güvenlik açıkları farklı paketleri etkilediği için sürüm notlarında birden fazla kez yer alıyor. Buna rağmen tek bir sürüm kapsamında ele alınan güvenlik kayıtlarının hacmi, güncellemenin kapsamını ortaya koyuyor.
Yamaların önemli bir bölümü Linux ekosisteminin temel yazılım paketlerine odaklanıyor. OpenSSL ve curl gibi ağ iletişimi bileşenlerinin yanı sıra Kubernetes, Docker ve QEMU gibi bulut altyapısında kullanılan teknolojiler de güncelleme kapsamında yer alıyor. Genel Linux çekirdeği ise 6.6.161.1 sürümüne yükseltiliyor.
Güncellemenin güvenlik tarafındaki önemli başlıklarından birini CVE-2026-114406 koduyla takip edilen eMudhra sertifika olayı oluşturuyor. Microsoft, güvenliği ihlal edilmiş eMudhra ara sertifikalarını doğrulayabilecek kök sertifikaları sistemden kaldırdı veya güvenilmeyen sertifikalar arasına aldı. Şirket ayrıca Python ve Go ortamlarına etkilenen sertifikaların reddedilmesini sağlayan kontroller ekledi.
Microsoft, sertifika düzenlemeleri sırasında SSL.com tarafından sağlanan TLS güvenini de gerekli durumlarda korudu. Bu yaklaşım, güvenliği ihlal edilmiş sertifikalara yönelik önlemlerin diğer güvenilir sertifika zincirlerinde kesintiye yol açmamasını hedefliyor. Sertifika doğrulama mekanizmalarındaki değişiklikler, bulut ortamlarında güvenli bağlantıların sürdürülebilmesi açısından önem taşıyor.
Azure Linux güncellemesi, konteyner tabanlı iş yüklerini çalıştıran altyapı bileşenlerine de çok sayıda düzeltme getiriyor. KubeVirt, containerd ve Docker Compose gibi teknolojiler için sunulan yamalar, sanallaştırma ve konteyner yönetimi süreçlerinde kullanılan yazılımları kapsıyor. Aynı CVE kayıtlarının farklı paketlerde tekrarlanması da değişiklik listesinin uzunluğunu artıran unsurlar arasında bulunuyor.
Microsoft, güvenlik yamalarının dışında sistem kararlılığı ve sanallaştırma alanında da çeşitli değişiklikler yaptı. Yeni Dockerfile dosyaları, gizli bilgi işlem desteğine yönelik OpenVMM yaması, systemd kaynaklı takılma sorunlarına ilişkin düzeltmeler ve GRUB Secure Boot meta verilerindeki düzenlemeler sürümün diğer yeniliklerini oluşturuyor.
Yazılım sektöründe güvenlik açığı keşiflerinin hızlanması, geliştiricilerin bakım ve güncelleme süreçleri üzerindeki baskıyı artırıyor. Yapay zekâ destekli araştırma araçlarının güvenlik açıklarının tespit edilmesinde daha fazla kullanılması, yazılım ekiplerinin karşılaştığı yama ihtiyacını da gündeme taşıyor. Ancak Microsoft, Azure Linux 3.0.2022 sürümündeki düzeltmelerin yapay zekâ destekli araştırmalar sonucunda ortaya çıkan açıkları kapsayıp kapsamadığı konusunda açıklama yapmadı.
Linux çekirdeğinin bazı bölümlerinde ise güvenlik açığı bildirimlerinin azalabileceğine yönelik işaretler bulunuyor. Linux’un yaratıcısı Linus Torvalds, eBPF alt sisteminde düzeltmelerin yeni hata bildirimlerinden daha hızlı geldiğini belirtti. Torvalds, benzer bir tablonun çekirdeğin diğer bölümlerinde henüz oluşmadığını da ifade etti.
Microsoft’un dağıtımı olan Azure Linux, önceki adıyla CBL-Mariner olarak biliniyor. Şirket, Linux tabanlı işletim sistemini ağırlıklı olarak kendi bulut altyapısı ile hizmetlerinde kullanıyor. Dağıtımın bulut iş yükleri, konteyner teknolojileri ve sistem bileşenleriyle doğrudan ilişkisi, güvenlik güncellemelerinin operasyonel önemini artırıyor. 3.0.2022 sürümü de yalnızca bir sürüm numarası değişikliğinden ibaret kalmayarak Microsoft’un Linux altyapısındaki çok sayıda güvenlik ve kararlılık sorununu aynı pakette ele alıyor.
