Microsoft heeft versie 1.69 van de Azure Connected Machine agent uitgebracht in oktober 2026. De release bevat meerdere beveiligingsverbeteringen, bugfixes en verbeteringen voor zowel Windows als Linux.
De aankondiging
De release notes zijn gepubliceerd op het Microsoft Learn-portaal en beschrijven de wijzigingen in versie 1.69 ten opzichte van eerdere versies. Het artikel wordt maandelijks bijgewerkt en bevat informatie over de meest recente releases, bekende problemen en bugfixes.
Beveiligingsverbeteringen
Versie 1.69 bevat verschillende beveiligingsfixes. De agent bevat nu geharde pakketextractie voor ZIP-entries met excessief lange bestandsnamen. De validatie van extensiepakketintegriteit is versterkt, en command injection-aanvallen zijn voorkomen bij het verwerken van beveiligde extensie-instellingen en het valideren van pakketsignaturen. Ook zijn command injection-aanvallen voorkomen in extensieregisteroperaties en zijn onveilige registerimporten verwijderd.
De agent bevat nu OpenSSL versie 3.6.5 (bijgewerkt van 3.6.4). HIMDS (Hybrid Instance Metadata Service) is gehardend tegen lokale denial-of-service-aanvallen door beperking van gelijktijdige IPC-verbindingen. Proxy-referenties zijn volledig geredacteerd uit HTTP- en HTTPS-proxy-instellingen, en command injection via proxy-argumenten is voorkomen. De agent selecteert nu de best beschikbare sleutelopslag.
Bugfixes en verbeteringen
De release bevat fixes voor verschillende problemen. Gatewayconfiguratie-updates zijn geserialiseerd om te voorkomen dat gelijktijdige lokale configuratiewijzigingen worden overschreven. Niet-verhoogde netwerkcontroles zijn verplaatst naar HIMDS, en proxy-referenties die via het openbare IPC-eindpunt worden geretourneerd, zijn geredacteerd. HIMDS-poortbeveiligingsdetectie is gefixed tijdens onverhoogde MSI-installatie en -verwijdering.
Malvormde RSA-exponenten in JSON Web Keys veroorzaken niet langer crashes in HIMDS. HIMDS-afhandeling van systemd-overgeërfde IPv6-listeners is gefixed. De agent valt nu terug op het globale Entra-eindpunt wanneer een proxy het regionale eindpunt weigert. De status van keyless Windows pay-as-you-go-licenties wordt nu correct gerapporteerd.
HIMDS-bindfouten veroorzaakt door verouderde Windows Filtering Platform-uitvoerbare paden zijn gefixed. HIMDS-naamspijp-squatting is voorkomen en BCrypt RSA-public-blob-parsing is gehardend. HIMDS-resource-ID-parsing en HTTP-signature-base-afleiding zijn gehardend. Scheidingstekens in Azure-tagwaarden worden nu behouden.
Logrotatie-omgevingsvariabelen gebruiken nu standaardwaarden wanneer deze ongeldig zijn. Gelijktijdige gelezen van gecachete-token-metagegevens zijn gefixed. De relay-reconnect-backoff wordt nu gereset na een langdurige succesvolle verbinding.
Ondersteuning voor lange extensie-verwijderingen
Versie 1.69 voegt ondersteuning toe voor langdurige extensie-verwijderingsoperaties op zowel Windows als Linux. Dit verbetert de betrouwbaarheid wanneer extensies worden verwijderd die meer tijd nodig hebben voor opschoning.
Bundelde componenten
De bundelde PowerShell is bijgewerkt van versie 7.4.19 naar 7.4.20. Dit verbetert de stabiliteit en prestaties van PowerShell-gebaseerde operaties binnen de agent.
Bekende problemen
De release notes beschrijven twee bekende problemen. Op Windows kan de nieuwe poortbeveiligingsfunctie in zeldzame gevallen problemen veroorzaken. Wanneer het interne Windows-apparaatpad tussen reboots verandert, kunnen de poortbeveiligingsregels de Arc-agent blokkeren. Dit resulteert in een foutmelding bij het uitvoeren van azcmagent-commando's. Als tijdelijke oplossing kan de agent worden teruggerold of kan een reparatiecommando worden uitgevoerd.
Op Linux kan systemd IPv6-poorten binden, maar in sommige gevallen veroorzaakt het ontbreken van een IPv6-adres op een actieve interface dat HIMDS aanneemt dat IPv6-loopback is uitgeschakeld. Microsoft biedt een workaround door de himdsd.service-configuratie te bewerken en de Sockets=-regel te vervangen.
Beschikbaarheid
Versie 1.69 is beschikbaar voor download voor zowel Windows als Linux. Microsoft benadrukt dat alleen Connected Machine agent-versies die in het afgelopen jaar zijn uitgebracht, officieel worden ondersteund. Alle klanten moeten upgraden naar een agentversie binnen dit venster of automatische agent-upgrades inschakelen.
Toekomstige wijziging
Effectief februari 2027 zal de Azure Connected Machine agent geen certificaten meer accepteren met negatieve serienummers, in overeenstemming met RFC 5280 Section 4.1.2.2, dat stelt dat het serienummer een positief geheel getal moet zijn dat door de CA aan elk certificaat is toegewezen.
Wat dit betekent voor beheer
Beheerders kunnen versie 1.69 implementeren op Windows- en Linux-machines die worden beheerd via Azure Arc. De beveiligingsverbeteringen maken de agent robuuster tegen aanvallen. Beheerders moeten zich bewust zijn van de twee bekende problemen en de beschikbare workarounds. Voor machines met Windows-apparaatpadwijzigingen tussen reboots kan een reparatiecommando nodig zijn. Op Linux-machines kan de himdsd.service-configuratie moeten worden aangepast als IPv6-loopback-problemen optreden.
