cert-manager

v1.21.3Security

2026年10月23日

侵害された認証局への信頼を取り除き、脆弱性のある依存関係を更新したセキュリティ保守リリースです。ACMEの証明書発行処理、Secretの扱い、Helmによるマニフェスト生成の不具合も修正されています。

要対応 (6)

security侵害された中間証明書を経由する証明書チェーンの拒否
Go 1.26.10に更新し、侵害された中間証明書を経由する証明書チェーンをcrypto/x509が拒否するようになりました。対象はCVE-2026-111943（GO-2026-6809）です。
CVE-2026-111943
securityGo 1.26.9への更新
Goを1.26.9に更新し、crypto/tls、net/http、net/textproto、html/templateパッケージのCVEを修正しました。
securityGo 1.26.10への更新
Goを1.26.10に更新し、crypto/x509パッケージのCVEを修正しました。
securitygolang.org/x/net v0.60.0への更新
golang.org/x/netをv0.60.0に更新し、報告されていたセキュリティ脆弱性を修正しました。
securityOpenTelemetry OTLPトレース関連パッケージの更新
go.opentelemetry.io/otel/exporters/otlp/otlptraceとotlptracegrpcをv1.45.0に更新し、報告されていたセキュリティ脆弱性を修正しました。
security侵害されたルート証明書の削除
distrolessのベースイメージを更新し、侵害された「emSign ECC Root CA - G3」ルート証明書を削除しました。

security次の秘密鍵Secretの使用条件を厳格化
status.nextPrivateKeySecretNameを使用し、cert-manager.io/next-private-keyラベルが設定されている場合に適用されます。
requestmanagerコントローラーとissuingコントローラーは、status.nextPrivateKeySecretNameで指定されたSecretについて、cert-manager.io/next-private-keyラベルが付き、Certificateが所有している場合だけ使用するようになりました。

その他の記録済み変更 2 件すべてfixes 2

- Added status.acme.ari.certID to track issuance of new certs and re-fetch ARI from CA. This fixes a renewal loop where a stale ARI window from the previous certificate triggered repeated re-issuance until the CA rate limit was hit. (#9292, @hjoshi123)
- Helm chart: quote the http_proxy, https_proxy and no_proxy values when rendering the controller Deployment env vars, so values like *.example.com no longer break the manifest. (#9407, @pujitha24)

cert-managerをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチも、その一例です。