Microsoft heeft op 27 oktober 2026 versie 1.69 van de Azure Connected Machine agent uitgebracht. Deze release bevat meerdere beveiligingsverbeteringen, bugfixes en verbeterde functionaliteit voor zowel Windows als Linux-omgevingen.
De aankondiging
De release notes op Microsoft Learn beschrijven de wijzigingen in versie 1.69, die beschikbaar is voor download voor Windows en Linux. De agent ontvangt maandelijks updates met verbeteringen en beveiligingspatches.
Beveiligingsverbeteringen
Versie 1.69 bevat meerdere beveiligingsfixes. De agent verwerkt nu ZIP-entries met excessief lange bestandsnamen veiliger (hardened package extraction). De integriteit van extensiepakketten is versterkt en command injection-aanvallen zijn voorkomen bij het verwerken van extensie protected settings en het valideren van pakketkandidaten. Ook zijn command injection-aanvallen voorkomen in extensie registry-operaties en zijn onveilige registry-imports verwijderd.
De agent voorkomt command injection via security baseline pre-installation settings en beperkt gelijktijdige HIMDS IPC-verbindingen. HTTP- en HTTPS-proxy-referenties zijn volledig geredacteerd en command injection via proxy-argumenten is voorkomen. HIMDS is versterkt tegen lokale denial-of-service-aanvallen (OOM/FD exhaustion) en tegen impersonatie. Daarnaast is HIMDS-resource ID-parsing en HTTP signature-base derivation versterkt.
OpenSSL is bijgewerkt van versie 3.6.4 naar 3.6.5 voor verbeterde beveiliging.
Bugfixes en verbeteringen
De bundled PowerShell is bijgewerkt van versie 7.4.19 naar 7.4.20. De agent ondersteunt nu langdurige extensie-verwijderingen (long-running extension uninstall operations).
Gateway-configuratie-updates zijn geserialiseerd om te voorkomen dat gelijktijdige lokale configuratiewijzigingen worden overschreven. Niet-verhoogde netwerkcontroles zijn verplaatst naar HIMDS en proxy-referenties die via het openbare IPC-eindpunt worden geretourneerd, zijn geredacteerd.
De HIMDS-poortbeveiligingsdetectie is tijdens onverhoogde MSI-installatie en -verwijdering gecorrigeerd. Malformed RSA-exponenten in JSON Web Keys veroorzaken HIMDS niet langer crashes. HIMDS-verwerking van systemd-inherited IPv6-listeners is gecorrigeerd.
De agent valt terug op het globale Entra-eindpunt wanneer een proxy het regionale eindpunt weigert. De keyless Windows pay-as-you-go-licentieringsstatus wordt nu gerapporteerd. HIMDS-bindfouten veroorzaakt door verouderde Windows Filtering Platform-uitvoerbare paden zijn opgelost.
HIMDS-named-pipe squatting is voorkomen en BCrypt RSA public-blob parsing is versterkt. Scheidingstekens in Azure-tagwaarden blijven behouden. Wanneer log rotation-omgevingsvariabelen ongeldig zijn, worden standaardwaarden gebruikt. Gelijktijdige cached-token metadata-lezingen zijn gecorrigeerd.
De relay-reconnect backoff wordt opnieuw ingesteld na een duurzame succesvolle verbinding. Gelijktijdige HIMDS IPC-verbindingen zijn beperkt. Onvoorwaardelijke token-ongeldigmaking via CancelChange-verzoeken is voorkomen.
Ondersteunde platforms
Versie 1.69 werkt op Windows en Linux. Guest Config is bijgewerkt naar versie 1.29.119.0 op Windows en 1.26.119.0 op Linux.
Bekende problemen
In zeldzame gevallen kan de nieuwe port-protection-functie problemen veroorzaken. Op Windows kan een interne Windows-apparaatpad-wijziging tussen reboots ertoe leiden dat de port-protection-regels de Arc-agent blokkeren. Dit resulteert in een foutmelding bij het uitvoeren van azcmagent-commando's. De himds.log-bestand toont ook een bind-fout.
Als tijdelijke oplossing kan de agent worden teruggerold of kan een reparatiecommando worden uitgevoerd via msiexec. Microsoft geeft aan dat de fix is gepland voor azcmagent versie 1.69 (hoewel deze versie al is uitgebracht, kan dit duiden op een verdere patch).
Op Linux kan systemd IPv6-poorten binden, maar in sommige gevallen veroorzaakt het ontbreken van een IPv6-adres op een actieve interface dat HIMDS aanneemt dat IPv6 loopback is uitgeschakeld. Dit kan worden opgelost door de himdsd.service-configuratie te bewerken en de Sockets=-regel te vervangen.
Toekomstige wijzigingen
Microsoft kondigt aan dat effectief februari 2027 de Azure Connected Machine agent geen certificaten meer accepteert met negatieve serienummers, in overeenstemming met RFC 5280 Section 4.1.2.2.
Ondersteuningsbeleid
Microsoft ondersteunt officieel alleen Connected Machine agent-versies die in het afgelopen jaar zijn uitgebracht. Klanten worden aanbevolen bij te werken naar een agentversie binnen dit venster of automatische agent-upgrades in te schakelen (preview).
Wat dit betekent voor beheer
Beheerders kunnen versie 1.69 downloaden en implementeren op Windows- en Linux-machines die door Azure Arc worden beheerd. De beveiligingsverbeteringen, met name rond command injection-preventie en proxy-referentie-redactie, verbeteren de veiligheid van hybride omgevingen. Beheerders moeten zich bewust zijn van de bekende port-protection-problemen en kunnen deze omzeilen met de beschreven reparatiestappen indien nodig. Het is raadzaam om regelmatig bij te werken naar de nieuwste agentversie.
