La compañía Microsoft ha publicado la actualización mensual del sistema operativo Azure Linux 3.0.20260506. Esta distribución se desarrolla como una plataforma base universal para entornos Linux utilizados en infraestructura en la nube, sistemas edge y varios servicios de Microsoft. Los aportes del proyecto se distribuyen bajo la licencia MIT. Las compilaciones de paquetes se forman para las arquitecturas aarch64 y x86_64. El tamaño de la imagen de instalación es de 770 MB.
Entre los cambios en la nueva versión:
- Se han añadido paquetes ignition y rust-afterburn al repositorio (SPECS y SPECS-EXTENDED).
- El paquete del analizador de red Wireshark ha sido recompilado con soporte para el lenguaje Lua.
- En la construcción del paquete del núcleo para la arquitectura arm64 se ha incluido el parámetro CONFIG_IKCONFIG_PROC, que permite el acceso a la configuración de construcción del núcleo actual a través del archivo /proc/config.gz.
- Se ha mejorado el soporte para la migración en vivo en QEMU.
- Se ha añadido el parámetro extraMacrosFiles al archivo PackageBuild.yml para pasar archivos adicionales con macros durante la construcción del paquete.
- Se han solucionado varias decenas de vulnerabilidades en varios paquetes.
- Se han actualizado las versiones del núcleo Linux 6.6.137.1, clamav 1.5.2, cloud-hypervisor 51.1.56, containerd2 2.1.6, cups 2.4.18, erlang 26.2.5.20, golang 1.26.2-1, libpng 1.6.57, mysql 8.0.46.
La distribución Azure Linux proporciona un pequeño conjunto estándar de paquetes básicos que actúan como una base universal para crear el contenido de contenedores, entornos host y servicios que se ejecutan en infraestructuras en la nube y en dispositivos edge. Las soluciones más complejas y especializadas pueden ser creadas añadiendo paquetes adicionales sobre Azure Linux, pero la base para todos estos sistemas permanece inalterada, lo que simplifica el mantenimiento y la preparación de actualizaciones.
Azure Linux se utiliza como base para el mini-sistema operativo WSLg, que proporciona componentes del stack gráfico para ejecutar aplicaciones GUI de Linux en entornos basados en la subsistema WSL2 (Windows Subsystem for Linux). La funcionalidad ampliada en WSLg se implementa mediante la inclusión de paquetes adicionales con el servidor de composición Weston, XWayland, PulseAudio y FreeRDP.
Para gestionar los servicios y la carga se utiliza el gestor de sistema systemd. Los gestores de paquetes RPM y DNF se incluyen para la gestión de paquetes. El servidor SSH no está habilitado por defecto. Se proporciona un instalador para la instalación de la distribución, que puede funcionar tanto en modo texto como gráfico. En el instalador, se ofrece la opción de instalar con un conjunto completo o básico de paquetes, así como una interfaz para seleccionar las particiones del disco, elegir el nombre del host y crear usuarios.
El sistema de construcción de Azure Linux permite generar tanto paquetes RPM individuales a partir de archivos SPEC y textos fuente, como imágenes del sistema monolíticas, que se crean utilizando la herramienta rpm-ostree y se actualizan de manera atómica sin fragmentarse en paquetes individuales. Por lo tanto, se admiten dos modelos de entrega de actualizaciones: mediante la actualización de paquetes individuales y mediante la reconstrucción y actualización de toda la imagen del sistema. Se dispone de un repositorio que incluye alrededor de 3000 paquetes RPM ya compilados, que se pueden utilizar para componer sus propias imágenes basadas en un archivo de configuración.
La plataforma básica incluye solo los componentes más necesarios y está optimizada para un consumo mínimo de memoria y espacio en disco, así como para una alta velocidad de arranque. El proyecto adopta un enfoque de 'máxima seguridad por defecto', que implica habilitar varios mecanismos adicionales para aumentar la protección:
- Filtración de llamadas al sistema mediante el mecanismo seccomp.
- Cifrado de particiones del disco.
- Verificación de paquetes mediante firma digital.
- Aleatorización del espacio de direcciones.
- Protección contra ataques relacionados con enlaces simbólicos, mmap, /dev/mem y /dev/kmem.
- Modo de solo lectura y prohibición de la ejecución de código en áreas de memoria donde se almacenan segmentos de datos del núcleo y módulos.
- Opción para prohibir la carga de módulos del núcleo después de la inicialización del sistema.
- Uso de iptables para filtrar paquetes de red.
- Inclusión al compilar de modos de protección contra desbordamiento de pila, desbordamientos de búfer y problemas de formateo de cadenas (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Fuente: opennet.ru
