リリース

要対応 (7)

• securityhighcom.fasterxml.jackson.core:jackson-databindを更新

  com.fasterxml.jackson.core:jackson-databindを更新しました。

• securitymedium管理者資格情報の削除による権限回避を修正

  管理者資格情報の削除操作が、拒否されたパスワードリセット権限を回避していた問題を修正しました。

• securitymediumレルム間リソースの読み書きを修正

  RealmCacheSessionのリクエスト単位のセッションキャッシュを介して、別レルムのリソースを読み書きできる問題を修正しました。

• securitymediumユーザー更新によるパスワードリセット権限回避を修正

  一般ユーザー更新処理が、拒否されたパスワードリセット権限を回避していた問題を修正しました。

• securitytools.jackson.core:jackson-databindを更新

  複数の問題に対応するため、tools.jackson.core:jackson-databindを更新しました。

• securitysimple-gitを更新

  複数の問題に対応するため、simple-gitを更新しました。

• security空パスワードによるユーザー名推測を修正

  空のパスワードを使った応答時間からユーザー名を推測できる問題を修正しました。

要対応 (4)

• breakingConnectイメージのビルドツールを Buildah に統一

  適用対象はリリースノートに明記されていません。

  Connectイメージのビルドから Kaniko が削除され、使用するツールは Buildah のみになりました。

• breakingUseConnectBuildWithBuildah を既定で有効化

  UseConnectBuildWithBuildah 機能ゲートがGA段階に移行し、既定で有効になります。無効化するオプションはありません。

• breakingUseBackgroundPodDeletion を既定で有効化

  UseBackgroundPodDeletion 機能ゲートがベータ段階に移行し、既定で有効になります。必要に応じて、Cluster Operatorの機能ゲート設定で無効にできます。

• breakingKubernetes 1.32以降のみをサポート

  Strimzi 1.3.0以降にサポートされるKubernetesは1.32以降のみです。Kubernetes 1.30と1.31はサポート対象外になりました。

要対応 (1)

• securitylowWasm の wasmtime 更新

  wasmtime を 24.0.10 に更新し、CVE-2026-54786 を解消しました。

要対応 (1)

• securitylowwasmtimeの更新

  wasmのwasmtimeを24.0.10へ更新し、CVE-2026-54786を解消しました。

要対応 (1)

• securitylowwasmtime を 24.0.10 に更新

  wasm の wasmtime を 24.0.10 に更新し、CVE-2026-54786 に対処しました。

要対応 (1)

• breaking接続作成通知の重複リンクを削除

  接続作成時の通知から、重複していた「View Connection」リンクが削除されました。

影響確認 (5)

• securityauth_users のバイパス問題を修正

  auth_users を設定している場合に適用されます。

• breakingmax_ha_assets の上限適用を一貫化

  max_ha_assets を設定している場合に適用されます。

• breaking旧式の $GR. 返信プレフィックスのサポート削除

  旧式の $GR. 返信プレフィックスを使用している場合に適用されます。

• リリースページにあと 2 件

要対応 (1)

• breakingクライアント ingress で $GR. 応答プレフィックスを予約

  クライアントの ingress では、$GR. 応答プレフィックスが予約されるようになりました。クライアントがこのプレフィックスを使ってゲートウェイの応答サブジェクトへ公開することを防ぎます。

影響確認 (3)

• breakingレガシー署名者によるプルのデフォルト許可

  適用対象はリリースノートに明記されていません。

• breakingallow_private_network_access の既定値を true に変更

  allow_private_network_access を設定していない場合に適用されます。

• breaking2.15.0 移行テンプレートの既定値変更

  allow_private_network_access を設定していない場合に適用されます。

要対応 (1)

• securityrelease-3.4 の協調的なセキュリティ修正

  コミット 4bc8085b0a6d2296b849539d3d09fc7be7a4a511 で、release-3.4 向けの協調的なセキュリティ修正を実施しました（#30039）。

要対応 (1)

• security調整済みセキュリティ修正

  7f0a05834b05103d69d7c150e1ee36541b314696 により、release-3.5 向けの調整済みセキュリティ修正が入りました。関連する変更は #30038 です。

要対応 (1)

• securityhighgoogle.golang.org/grpc を v1.83.2 に更新

  google.golang.org/grpc を v1.83.2 に更新し、GO-2026-6443 を解決しました。

影響確認 (4)

• breakingHelm OCIチャートタグのv接頭辞廃止

  スクリプトやツールでHelm OCIチャートのタグを参照している場合に適用されます。

• breakingCephのmsgrv2必須化

  古いカーネルのためmsgrv2を利用できない場合に適用されます。

• breakingNFS用.nfsプールの自動作成廃止

  新しいNFSインストールを作成する場合に適用されます。

• リリースページにあと 1 件

影響確認 (2)

• securityoauth2 フィルターの CONNECT リクエスト処理修正

  :path ヘッダーのない CONNECT リクエストに適用されます。

• securityapi_key_auth の認証時クラッシュ修正

  hide_credentials を有効にし、キーソースに query を設定している場合に適用されます。

影響確認 (2)

• securityoauth2フィルターのリクエスト処理クラッシュ修正

  oauth2フィルターを使用している場合に適用されます。

• securityapi_key_authの認証リクエスト処理クラッシュ修正

  hide_credentialsを有効にしたapi_key_authで、キーソースにqueryを使用している場合に適用されます。

影響確認 (2)

• securityoauth2フィルターのクラッシュ修正

  oauth2フィルターが:pathヘッダーのないリクエストを受け取る場合に適用されます。

• securityapi_key_authのクラッシュ修正

  hide_credentialsを有効にし、キーソースがqueryで、:pathヘッダーのないリクエストが別のキーソースで認証される場合に適用されます。

要対応 (1)

• breakingai-sidecar の mcp URL の既定値をクエリポート 16686 に変更

  ai-sidecar の mcp URL は、クエリポート 16686 を指す既定値になりました。

影響確認 (2)

• securityoauth2で:pathヘッダーのないリクエストをHTTP 400で拒否

  oauth2拡張機能を使用している場合に適用されます。

• securityapi_key_authの特定条件下でのクラッシュ修正

  api_key_auth拡張機能を使用し、hide_credentialsとqueryを設定している場合に適用されます。

要対応 (16)

• securitydistribution エンドポイントのパストラバーサル脆弱性の修正

  distribution エンドポイントにおけるパストラバーサルの脆弱性を修正しました。GHSA-qj39-pjf2-wmrc に対応しています。

• securityシステムロボットの不正な管理者権限昇格の修正

  user:update 権限を持つシステムロボットがシステム管理者になれる問題を修正しました。GHSA-w5fq-xrhj-j7g2 に対応しています。

• security全プロジェクト対象ロボットの権限付与処理の修正

  「すべてのプロジェクト」を対象とするロボットのスコープがグローバルワイルドカードとして扱われ、robot:update が付与される問題を修正しました。これにより、プロジェクト間でロボットを乗っ取り、所有者を締め出せる状態を防ぎます。GHSA-xq2m-cj8w-56v5 に対応しています。

• security外部 auth-proxy の admin ID による管理者権限継承の修正

  外部 auth-proxy の ID が admin の場合に Registry のシステム管理者権限を継承する問題を修正しました。GHSA-xvh7-74g6-29xw に対応しています。

• securityイミュータブルタグルールの複数セレクター評価の修正

  イミュータブルタグルールの照合で、複数のリポジトリまたはタグセレクターの先頭だけが評価される問題を修正しました。GHSA-27f2-qg57-2gwg に対応しています。

• securityWebhook 配信の SSRF 脆弱性の修正

  Webhook 配信において、ProjectAdmin が内部サービスやクラウドメタデータエンドポイントへアクセスできる SSRF を修正しました。GHSA-2phj-cp9f-qq6w に対応しています。

• securityスキャナー Bearer 認可リクエストの TLS 検証処理の修正

  スキャナーの Bearer 認可リクエストで TLS 検証が無効化され、レスポンス本文全体を読み込む問題を修正しました。GHSA-884q-mjcg-86x4 に対応しています。

• securityJobservice における Webhook エラーレスポンスの展開制限

  Webhook のエラーレスポンスにより Jobservice で無制限の展開が発生する問題を修正しました。GHSA-jw3v-7jvc-pfmx に対応しています。

• securityRegistry チャンクアップロードの Location ヘッダー検証

  Registry のチャンクアップロードで、検証されていない Location ヘッダーを再利用する問題を修正しました。GHSA-wjpm-hv5w-gxr6 に対応しています。

• securityUser-Agent によるプルポリシー回避の修正

  攻撃者が制御する User-Agent ヘッダーによって、脆弱性および Content-Trust のプルポリシーを回避できる問題を修正しました。GHSA-wrw5-gmvj-gf23 に対応しています。

• securityレプリケーションクライアントの Link ヘッダー処理の修正

  Registry レプリケーションクライアントで、攻撃者が制御するページネーションの Link ヘッダーによる SSRF と認証情報漏えいを修正しました。GHSA-xgp2-5vxg-rgh2 に対応しています。

• securityAuthMode 参照失敗時のセキュリティミドルウェア処理の修正

  AuthMode の参照に失敗した後もセキュリティミドルウェアが処理を継続する問題を修正しました。GHSA-3x7c-wf86-mjx6 に対応しています。

• securityロボット名の接頭辞によるプロキシキャッシュポイズニングの防止

  ロボット名の接頭辞を悪用したプロキシキャッシュポイズニングを防止しました。

• securityCVE 修正に伴う Go 依存関係の更新

  CVE 修正のため Go 依存関係を更新しました。

• breakingマニフェストアップロードのサイズ上限

  マニフェストのアップロードサイズに上限を設けました。

• breaking監査ログペイロードのサイズ上限

  監査ログのペイロードサイズに上限を設けました。

要対応 (1)

• breakingqcow2 外部データファイル参照の拒否

  qemuimgutil が qcow2 の外部データファイル参照を拒否するようになりました。

要対応 (2)

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を v1.83.1 に更新し、HTTP/2 DATA frame fragmentation によるメモリ枯渇に対応しました。関連する識別子は GO-2026-6348 です。

• securityUIのnpm依存関係を更新

  UIで使用する脆弱なnpm依存関係を更新しました。

要対応 (1)

• breakingリリースバンドルSBOMの形式変更

  リリースバンドルのSBOMが SPDX 3.0.1 JSON-LD 形式になり、ファイル名の末尾は .spdx.json です。従来の SPDX 2.3 tag-value 形式である .spdx ファイルから変更されています。

要対応 (2)

• breakingAWS 管理リソースのアクション対象外化

  kms と route53 では、AWS が管理するリソースをアクションの対象外にします。

• breakingrename-tag アクションの削除

  aws.cloudwatch-dashboard から rename-tag アクションを削除しました。

要対応 (1)

• securitymediumTLS証明書解析時の過剰なメモリ割り当てを修正

  CVE-2026-35189 に対応し、証明書の nameRelativeToCRLIssuer CRL Distribution Points を解析する際の過剰なメモリ割り当てを BoringSSL で修正しました。TLSハンドシェイク中にリモートからサービス拒否を引き起こされる可能性がありました。

要対応 (2)

• securitymediumBoringSSLの証明書解析における過剰なメモリ割り当てを修正

  CVE-2026-35189 に対応し、nameRelativeToCRLIssuer を含む CRL Distribution Points の証明書解析で過剰なメモリ割り当てが発生する問題を修正しました。この問題は TLS ハンドシェイク中にリモートからサービス拒否を引き起こされる可能性がありました。--config=boringssl-fips の BoringSSL FIPS ビルドにはこの修正は適用されません。

• breakingDebian bullseye（11）向けパッケージングを削除

  Debian bullseye（11）はライフサイクル終了となり、主要な Debian ミラーからリポジトリを取得できなくなったため、Debian bullseye（11）向けのパッケージングを削除しました。

要対応 (1)

• breakingDebian bullseye（11）向けパッケージを削除

  Debian bullseye（11）はサポート終了となり、主要な Debian ミラーでリポジトリを利用できなくなったため、Debian bullseye（11）向けのパッケージを削除しました。