Microsoft ha rilasciato un aggiornamento della distribuzione Azure Linux 3.0.20241101, che continua lo sviluppo della branch stabile 3.0 formata ad agosto. La distribuzione si evolve come una piattaforma di base universale per ambienti Linux utilizzati nell'infrastruttura cloud, nei sistemi edge e nei vari servizi Microsoft. I risultati del progetto sono distribuiti sotto licenza MIT. Le build dei pacchetti vengono create per le architetture aarch64 e x86_64. La dimensione dell'immagine di installazione è di 751 MB.
Tra le modifiche nella nuova versione:
- Per i sistemi basati sull'architettura ARM è stato aggiunto il supporto per la specifica FF-A (Firmware Framework for Arm A-profile).
- Incluso il modulo kernel intel_ifs (In-Field Scan), che consente di eseguire test diagnostici a basso livello sui processori Intel, in grado di rilevare problemi non identificabili dagli strumenti standard basati su codici di correzione degli errori (ECC) o bit di parità.
- Aggiunte registrazioni SBAT al bootloader GRUB2 per Fedora Linux.
- Nella costruzione del kernel è stata inclusa l'impostazione CONFIG_X86_AMD_PLATFORM_DEVICE, che tratta i dispositivi ACPI specifici per i chip AMD come dispositivi di piattaforma standard, come I2C, UART e GPIO.
- Garantito il funzionamento dei comandi iptables tramite la traduzione delle regole in bytecode nftables (oltre a iptables-legacy è stato utilizzato il pacchetto iptables-nft).
- Aggiornate le versioni dei pacchetti, tra cui il kernel Linux 6.6.57, Go 1.23, OpenIPMI 2.0.36, libpcap 1.10.5, vim 9.1.0791, mysql 8.0.40, clamav 1.0.7, cloud-init 24.3.1, php 8.3.12, mdadm 4.3, libarchive 3.7.7.
La distribuzione Azure Linux offre un set di base di pacchetti fondamentali che fungono da base universale per creare contenitori, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create tramite l'aggiunta di pacchetti aggiuntivi sopra Azure Linux, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti.
Azure Linux è utilizzato come base per il mini-distro WSLg, che fornisce componenti del stack grafico per eseguire applicazioni GUI Linux negli ambienti basati sul sottosistema WSL2 (Windows Subsystem for Linux). Una funzionalità avanzata in WSLg viene realizzata tramite l'inclusione di pacchetti aggiuntivi con compositi. server Weston, XWayland, PulseAudio e FreeRDP.
Per la gestione dei servizi e del carico, viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono forniti i gestori di pacchetti RPM e DNF. Il server SSH non è abilitato di default. Per l'installazione della distribuzione è fornito un installer che può operare sia in modalità testuale che grafica. Nell'installer è disponibile la possibilità di installare con un set completo o base di pacchetti, un'interfaccia per selezionare la partizione del disco, scegliere il nome dell'host e creare utenti.
Il sistema di build di Azure Linux consente di generare sia pacchetti RPM separati basati su file SPEC e sorgenti, sia immagini di sistema monolitiche create utilizzando lo strumento rpm-ostree e aggiornate in modo atomico senza suddivisione in pacchetti separati. Pertanto, sono supportati due modelli di consegna degli aggiornamenti: tramite l'aggiornamento di pacchetti singoli e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già compilati, utilizzabile per assemblare le proprie immagini basate su un file di configurazione.
La piattaforma di base include solo i componenti essenziali ed è ottimizzata per un consumo minimo di memoria e spazio su disco, oltre a garantire elevate velocità di caricamento. Nel progetto si applica un approccio di "massima sicurezza per impostazione predefinita", che prevede l'inclusione di vari meccanismi aggiuntivi per aumentare la protezione:
- Filtraggio delle chiamate di sistema tramite il meccanismo seccomp.
- Crittografia delle partizioni disco.
- Verifica dei pacchetti tramite firma digitale.
- Randomizzazione dello spazio degli indirizzi.
- Protezione contro attacchi legati a collegamenti simbolici, mmap, /dev/mem e /dev/kmem.
- Modalità sola lettura e divieto di esecuzione di codice in aree di memoria in cui sono allocati segmenti contenenti dati del kernel e dei moduli.
- Opzione per vietare il caricamento dei moduli del kernel dopo l'inizializzazione del sistema.
- Utilizzo di iptables per la filtrazione dei pacchetti di rete.
- Abilitazione nella compilazione delle modalità di protezione contro il buffer overflow, le vulnerabilità di overflow dello stack e problemi di formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Fonte: opennet.ru
