cert-manager
v1.21.2Security正確性とデータ露出の修正を中心とした保守リリースです。セキュリティ修正を含む依存関係の更新と、名前空間付き Vault 認証の既定動作の見直しも含まれます。
要対応 (6)
securityACME サーバーレスポンスボディの上限設定
ACME サーバーのレスポンスボディを 16 MiB までに制限し、上限のないボディによるサービス拒否を防ぎます。
securityHTTP-01 セルフチェックでのレスポンス内容の非開示
ACME HTTP-01 のセルフチェックで取得したレスポンスボディを
Challenge.に反映しなくなりました。リダイレクト先から取得した内部レスポンスの内容が開示されることを防ぎます。status. reason security
Go1.26.6 への更新Goを 1.26.6 に更新しました。goコマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/urlパッケージに含まれるセキュリティ修正が反映されています。security
google.v1.83.2 への更新golang. org/grpc google.を v1.83.2 に更新し、報告されていたセキュリティ脆弱性を修正しました。golang. org/grpc security
golang.v0.56.0 への更新org/x/crypto golang.を v0.56.0 に更新し、報告されていたセキュリティ脆弱性を修正しました。org/x/crypto breaking変換後リクエストへの検証適用
適用対象はリリースノートに明記されていません。
AdmissionReviewでは、v1 以外の API バージョンから変換された同等のリクエストにも検証を適用します。これまで検証を回避できたリクエストが対象になります。
影響確認 (1)
breaking名前空間付き Vault AWS IAM 認証の既定動作変更
名前空間付きの
Issuerで Vault AWS IAM 認証を使用している場合に適用されます。名前空間付きの
Issuerで Vault AWS IAM 認証を使う場合、vaultissuer は cert-manager controller の環境依存 AWS 認証情報を使って Vault に認証しなくなりました。--issuer-ambient-credentialsで明示的に有効化した場合は除きます。
その他の記録済み変更 12 件すべてfixes 11 · value changes 1
fixes (11)
- ACME Issuer response bodies are no longer reflected into Issuer status conditions or Kubernetes Events. Only ACME problem documents are surfaced (bounded in length); other responses are reported by HTTP status code alone, with the full error available in the controller logs.
- De-duplicate dnsNames when multiple Gateway/ListenerSet listeners share a Secret
- Fix certificate renewal windows using February 29 cron schedules across non-leap century years.
- Fix validating webhook panics when AdmissionReview requests omit optional fields, by routing identity, approval, and resource validation on the always-present Resource/SubResource fields
- Fixed HTTP-01 solver cleanup so that a solver ingress, pod or service that has already been deleted no longer fails the cleanup with a NotFound error.
- Fixed a bug where
replacesfield was being populated for the wrong issuer on issuer changes - Fixed a data race in the ACME HTTP-01 self-check that could occur when custom DNS servers were configured.
- Fixed a panic in the certificates-issuing controller when a CertificateRequest has a failure time set but no Ready condition.
- Fixed a race in pkg/scheduler where the cleanup of a fired timer could cancel a newer timer scheduled for the same object, silently dropping a rescheduled poll.
- Fixed an issue where the body of a non-Vault HTTP response from
spec.could be copied into the Vault Issuer's Ready condition and its Kubernetes Events. Such responses now report only the HTTP status code, and Vault's own error messages are truncated before being persisted.vault. server - Ingress-shim no longer removes the applyset label from cached Ingress and Gateway objects
value changes (1)
- Upgrade Go to 1.26.8.
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。