セキュリティ
CVEの山、証明書の整理、そしてMicrosoftのパッチ対応チームにさらなる負荷
Microsoftは、Azure Linux向けに驚異的な規模のアップデートを公開しました。1回のリリースに470件を超えるCVEの修正を詰め込んでおり、ソフトウェア業界で脆弱性が増え続ける状況に歯止めがかかる気配はありません。
Microsoftは週末に Azure Linux 3.0.2022を公開しました。Linuxカーネルからオープンソースパッケージ、コンテナソフトウェアまで、幅広い修正が含まれています。変更履歴は数百件のエントリに及ぶため、すべてに目を通すつもりなら、お茶を用意しておいたほうがよいでしょう。
Microsoftのリリースノートには470件を超えるCVEが記載されています。ただし、複数のパッケージに影響する脆弱性は重複して掲載されているため、470件の別々のセキュリティホールがあるわけではありません。それでも、1回のリリースとしては相当なパッチ量です。
修正の対象は、OpenSSL、curl、Kubernetes、Docker、QEMUのほか、現代のLinux環境を支える多数のパッケージに及びます。汎用Linuxカーネルはバージョン6.6.161.1に更新されました。
eMudhraの証明書インシデント（CVE-2026-114406として追跡）を受けた整理作業も行われました。Microsoftは、侵害されたeMudhraの中間証明書を検証できてしまうルート証明書を削除または信頼解除しました。あわせて、影響を受ける証明書を拒否するチェックをPythonとGoに追加しています。また、必要な箇所ではSSL.comのTLS信頼を維持しました。ある証明書の問題を解決するために、別の証明書の問題を生まないための配慮とみられます。
コンテナ基盤にも多くの修正が入っています。対象はKubeVirt、containerd、Docker Composeなど、クラウドワークロードの稼働を支えるコンポーネントです。複数のパッケージで同じCVEが繰り返し登場しており、変更履歴のエントリ数が目を見張る規模になった一因です。
セキュリティ以外の変更も含まれています。新しいDockerfileの追加、コンフィデンシャルコンピューティング対応のためのOpenVMMパッチ、systemdのハング修正、GRUB Secure Bootメタデータの調整などです。
この大規模リリースの背景には、AIが後押しする脆弱性発見の急増があり、開発者はそれに伴うパッチ作業に追われています。 The Registerが本日先ほど報じたとおり、Linuxの生みの親であるLinus Torvalds氏は、少なくともカーネルの一部では、この洪水がようやく落ち着き始めた兆しがあるとみています。
Torvalds氏によると、カーネルのeBPFサブシステムでは、修正の到着が新たなバグ報告を上回るようになりました。ただし、ほかの大半の領域ではそこまで至っていないと述べています。ソフトウェア業界全体が追いつきつつあるのかどうかは別問題です。また、今回のリリースで対処した脆弱性にAI支援の調査が寄与したかどうかについて、Microsoftは明らかにしていません。
Azure Linuxは旧称CBL-Marinerで、主に自社のクラウドインフラとサービス向けに開発されているMicrosoft独自のLinuxディストリビューションです。そのため、多数のコンポーネントにパッチを当て続けることは、控えめなバージョン番号の更新から想像されるよりもずっと重要です。
今回の変更履歴の規模から判断すると、Microsoftのパッチ対応チームがすぐにひと息つける見込みは薄そうです。®
