RATATOSKRATATOSK
ログイン

CloudNativePG

v1.29.1Storage & Data
2026年5月8日

ACTION 5CHECK 1OTHER 10

セキュリティを重視した保守リリースで、権限の縮小、複数の CVE 対応、サプライチェーン対策、フェイルオーバーと設定の正確性に関する修正を含みます。監視構成によっては明示的な権限付与が必要で、アップグレードには順序の指定があります。

要対応 (5)

  • securitycriticalメトリクスエクスポーターの認証ロールを専用化

    メトリクスエクスポーターの認証に postgres スーパーユーザーを使わず、pg_monitor 権限だけを持つ専用ロール cnpg_metrics_exporter を使うようになりました。低権限のデータベースユーザーが PostgreSQL のスーパーユーザー権限を得られる経路を閉じています。

  • securitycriticalgithub.com/jackc/pgx/v5 を v5.9.2 に更新

    github.com/jackc/pgx/v5 を v5.9.2 に更新しました。CVE-2026-33816 に関わる pgproto3 のメモリ安全性問題と、単純プロトコルのドルクォート文字列処理における SQL インジェクション問題 GHSA-j88v-2chj-qfwx への修正を取り込んでいます。

  • securityhighGo 1.26.3 による標準ライブラリの修正取り込み

    Go 1.26.3 でビルドし、crypto/x509、crypto/tls、net/http、net に含まれる上流修正を取り込みました。

  • securityhighcmd/go のモジュールチェックサム検証を修正

    Go 1.26.3 への更新で、cmd/go のモジュールチェックサム検証に関する CVE-2026-42501 にも対応しました。リリースビルド時のサプライチェーンへの露出を抑えています。

  • securitysearch_path を利用したオブジェクト隠蔽への対応

    未修飾参照は search_path に従って解決されます。データベースユーザーが search_path を操作して組み込みオブジェクトを隠せる可能性に対応しました。

影響確認 (1)

  • securitycriticalカスタム監視クエリに必要な権限付与

    カスタム監視クエリがユーザー所有テーブルを読み取る場合、または PUBLIC CONNECT を取り消したデータベースに対して target_databases: '*' を使う場合に適用されます。

    ユーザー所有テーブルを読むカスタム監視クエリや、PUBLIC CONNECT を取り消したデータベースに対する target_databases: '*' の利用では、cnpg_metrics_exporter への明示的な GRANT 文が必要です。

その他の記録済み変更 10 件すべてfixes 8 · value changes 2

fixes (8)

  • Fixed a failover window where the former primary kept its primary label.
  • Fixed failover not being triggered when the node hosting the primary becomes unreachable.
  • Fixed spurious failovers caused by transient failures on the primary's HTTP status endpoint.
  • Fixed escaping of backslashes and control characters in PostgreSQL configuration values.
  • Fixed restore_command construction to shell-quote each argument.
  • Malformed values are rejected at admission instead of failing later during PostgreSQL recovery.
  • Fixed snapshot restores failing when leftover pgsql_tmp* directories were present in the data directory.
  • Fixed a deadlock occurring when PVC storage size and resource requests are changed simultaneously.

value changes (2)

  • SBOM and SLSA provenance attached to operator container images now follow the OCI 1.1 Referrers spec, so standard registry tooling and supply-chain scanners can discover them automatically.
  • Switched TLS peer verification from VerifyPeerCertificate to VerifyConnection, which runs on every completed handshake
CloudNativePGをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。

スタックに追加 →
公式リリースノート ↗CloudNativePGのリリース一覧 →