Azure Linux 3.0.2022: eMudhra-Härtung und Brotli-Fix für AKS und Container

Microsoft hat am 7. November 2026 Azure Linux 3.0.2022 veröffentlicht (GitHub-Tag 3.0.20261105-3.0). Das Update härtet das Zertifikatsvertrauen nach dem eMudhra-Vorfall, hebt den Kernel auf 6.6.161.1, aktualisiert Brotli gegen die von CISA als ausgenutzt gelistete Lücke CVE-2026-111497 und schließt Lücken in Container-Werkzeugen wie containerd, runc und moby-engine. Die Release Notes nennen 274 verschiedene CVE-Kennungen.

Betroffen sind Umgebungen, die Azure Linux 3.0 selbst nutzen: AKS-Knotenpools mit dem Betriebssystem Azure Linux, eigene Container-Images auf Azure-Linux-Basis und VMs mit dieser Distribution. Knoten mit Ubuntu oder Windows sind nicht betroffen, wohl aber Container-Images auf Azure-Linux-Basis, die dort laufen. Das Update gehört zeitnah ins nächste Wartungsfenster. Systeme, die Brotli-Daten aus dem Netz entpacken, sollten zuerst drankommen, weil CISA die Lücke als ausgenutzt führt.

Was ist passiert?

Laut den Release Notes auf GitHub hat Microsoft Wurzelzertifikate entfernt oder ausdrücklich als nicht vertrauenswürdig markiert, über die sich die kompromittierten Zwischenzertifikate von eMudhra prüfen ließen (CVE-2026-114406). Betroffen sind unter anderem nss, Python 3.12.16 und pip, ca-certificates bringt zusätzlich aktualisierte Microsoft-Wurzelzertifikate. Go 1.27.3 und Python lehnen die kompromittierten Zwischenzertifikate zusätzlich direkt ab, für Go führt Microsoft dazu CVE-2026-111943. Auch die Zertifikatsbündel in grpc, InfluxDB und Telegraf wurden bereinigt.

Daneben steigt Brotli auf Version 1.2.1, ausdrücklich wegen CVE-2026-111497, die Microsoft als Broccoli2Shell bezeichnet. Ruby kommt in Version 3.3.13. OpenSSL erhält Patches für zwölf CVEs, nginx kommt in Version 1.30.6, httpd in 2.4.69, PHP in 8.3.36. Für den Container-Betrieb wichtig sind containerd2 2.3.7, gepatchte Pakete für runc, moby-engine und docker-cli sowie Korrekturen in sudo und curl. Das Paket KEDA hat Microsoft aus der Distribution entfernt.

Phoronix spricht von mehr als 470 CVEs. Im Changelog stehen 473 CVE-Nennungen, weil viele Go-Lücken dort in Dutzenden Paketen erneut auftauchen. Verschiedene Kennungen sind es 274, drei davon nennt Microsoft nur als bereits früher behoben.

Wer ist betroffen?

Relevant ist das Release für Teams, die in Azure Kubernetes Service Knotenpools mit Azure Linux betreiben, für Entwickler, die Container auf Azure-Linux-Basis bauen, und für VMs mit Azure Linux 3.0. Zwei bekannte Lücken behebt dieses Update nicht neu: Laut Release Notes war PwnEscape (CVE-2026-99999) schon ab Kernel 6.6.159.1 geschlossen, die PHP2Shell-Fixes stecken seit PHP 8.3.35-2 in der Distribution. Wer diese Stände schon hat, war dort bereits geschützt.

Wie kritisch ist das?

Am dringlichsten ist Brotli. CISA führt CVE-2026-111497 seit dem 27. Oktober 2026 im Katalog ausgenutzter Lücken, US-Bundesbehörden müssen bis zum 10. November patchen. Ein entfernter Angreifer kann laut CISA ohne Anmeldung mit einem präparierten Brotli-Datenstrom Speicher beschädigen, Speicherinhalte auslesen, den Dienst abstürzen lassen oder möglicherweise Code ausführen. Gefährdet sind Dienste, die komprimierte Daten aus dem Netz entpacken. Ebenfalls im Katalog steht seit dem 29. Oktober 2026 CVE-2026-97229, die Microsoft mit Ruby 3.3.13 behebt. CISA listet sie für GitLab und weist darauf hin, dass weitere Produkte über dieselbe Ruby-Schwachstelle betroffen sein können. Die Release Notes selbst äußern sich zu keiner Lücke zur Ausnutzung. Die eMudhra-Härtung sorgt dafür, dass Zertifikate aus den kompromittierten Zwischenzertifikaten auf dem System nicht mehr als vertrauenswürdig gelten.

Was sollten Admins jetzt tun?

• Inventar: Klären, welche AKS-Knotenpools, VMs und Container-Images auf Azure Linux 3.0 laufen. Pools mit Azure Linux 2.0 bekommen laut Microsoft seit dem 30. November 2025 keine Sicherheitsupdates mehr, seit dem 31. Oktober 2026 werden ihre Knotenimages entfernt. Solche Pools gehören auf Azure Linux 3.
• AKS: Mit az aks nodepool get-upgrades den Wert latestNodeImageVersion ablesen und mit nodeImageVersion aus az aks nodepool show vergleichen. Microsoft weist darauf hin, dass neue Linux-Knotenimages bis zu zwei Wochen brauchen, bis sie in allen Regionen verfügbar sind.
• Knotenimages aktualisieren, etwa mit az aks upgrade --node-image-only, oder einen automatischen Upgrade-Kanal für das Knoten-Betriebssystem im Wartungsfenster nutzen.
• Eigene Images auf Azure-Linux-Basis neu bauen und neu ausrollen, damit Brotli, OpenSSL und die bereinigten Zertifikatsbündel in den Containern ankommen.
• Dienste priorisieren, die Brotli-komprimierte Daten aus dem Netz entpacken, etwa Proxys, die komprimierte Antworten dekodieren, oder Anwendungen, die Brotli-Uploads annehmen.
• Wer KEDA aus den Distributionspaketen bezogen hat, braucht eine andere Bezugsquelle.

Einordnung für Unternehmen

Für kleinere Firmen spielt Azure Linux vor allem über AKS eine Rolle. Wer verwaltete Kubernetes-Knoten nutzt, sollte Knotenupdates nicht allein dem Zufall überlassen: Ein geplanter Upgrade-Kanal mit festem Wartungsfenster sorgt dafür, dass solche Sammelupdates ankommen. Die eMudhra-Bereinigung zeigt außerdem: Programme mit eigenen Zertifikatsbündeln wie Telegraf brauchen ein eigenes Update.

Passende Anleitungen auf S-EDV

• eMudhra: Acht CA-Schlüssel kompromittiert, Go und Firefox mit Notfallupdates
• Brotli-Lücke CVE-2026-111497 trifft auch Python, Envoy und Istio
• k3s: Leichtgewichtiges Kubernetes für den eigenen Server einrichten

Quellen

• Microsoft: Release Notes zu Azure Linux 3.0.2022
• CISA: Katalog ausgenutzter Lücken
• Microsoft Learn: Knotenimages in AKS aktualisieren
• Phoronix: Bericht zu Azure Linux 3.0.2022