CloudNativePG

v1.28.3Storage & Data

2026年5月8日

セキュリティ対応を中心としたメンテナンスリリースで、依存関係の修正とフェイルオーバー、設定の正確性に関する修正が含まれています。監視用ロールの移行や、設定値に対するより厳格な検証も行われています。

要対応 (4)

securitycriticalgithub.com/jackc/pgx/v5をv5.9.2へ更新
github.com/jackc/pgx/v5をv5.9.2へ更新し、pgproto3のメモリ安全性に関するCVE-2026-33816と、simple-protocolのドルクォート文字列処理を介したSQLインジェクションに関するGHSA-j88v-2chj-qfwxへの修正を取り込みました。
securityhighGoランタイムを1.26.3へ更新
Go 1.26.3でビルドし、crypto/x509、crypto/tls、net/http、netに含まれるCVE-2026-32280、CVE-2026-32281、CVE-2026-33810、CVE-2026-33814、CVE-2026-33811、CVE-2026-39825への上流修正を取り込みました。
securityhighcmd/goのモジュールチェックサム検証を修正
Go 1.26.3への更新には、リリースビルド時のcmd/goによるモジュールチェックサム検証に関するCVE-2026-42501への修正も含まれています。
securitysearch_pathによる非修飾参照の解決
非修飾参照はsearch_pathを通じて解決されますが、データベースユーザーがこの設定を操作して組み込みオブジェクトを隠せる可能性がありました。

securitycriticalメトリクスエクスポーターの認証ロールを専用化
メトリクスエクスポーターを実行している場合に適用されます。
メトリクスエクスポーターはpostgresスーパーユーザーで認証せず、pg_monitor権限だけを持つ専用のcnpg_metrics_exporterロールを使うようになりました。低権限のデータベースユーザーがPostgreSQLのスーパーユーザー権限を得られる経路を塞いでいます。

その他の記録済み変更 10 件すべてfixes 8 · additions 1 · value changes 1

Fixed a failover window where the former primary kept its primary label.
Fixed failover not being triggered when the node hosting the primary becomes unreachable.
Fixed spurious failovers caused by transient failures on the primary's HTTP status endpoint.
Fixed escaping of backslashes and control characters in PostgreSQL configuration values.
Fixed restore_command construction to shell-quote each argument.
Malformed values are rejected at admission instead of failing later during PostgreSQL recovery.
Fixed snapshot restores failing when leftover pgsql_tmp* directories were present in the data directory.
Fixed a deadlock occurring when PVC storage size and resource requests are changed simultaneously.

SBOM and SLSA provenance attached to operator container images now follow the OCI 1.1 Referrers spec, so standard registry tooling and supply-chain scanners can discover them automatically.

Switched TLS peer verification from VerifyPeerCertificate to VerifyConnection, which runs on every completed handshake (the former is skipped on resumed TLS 1.3 sessions).

CloudNativePGをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチも、その一例です。