Crossplane
v2.2.4Orchestration & Management2026年7月23日
Crossplane v2.2.4は、cosign、gRPC、Go標準ライブラリ(x/net、x/text)の複数の中程度セキュリティ脆弱性に対応するセキュリティパッチです。さらにUsageコントローラの調和ロジック修正が含まれ、最初のownerReferenceのみをチェックしていた問題を解決し、composedなリソースの繰り返し更新を防ぎます。
securitysigstore cosignのセキュリティ更新(v3.0.6)
sigstore cosignの依存関係をv3.0.6に更新して、セキュリティ脆弱性に対処しました。修正はv2.2.4に含まれ、署名と検証機能を使用するすべてのCrossplaneデプロイメントが対象です。
securitygRPCおよび標準ライブラリのセキュリティ更新
gRPC、golang.org/x/net、golang.org/x/textの依存関係がセキュリティ修正のために更新されました。これらの更新はv2.2.4に含まれ、Crossplane全体に無条件に適用されます。
主な変更 (4)
- セキュリティ: cosign、gRPC、x/net、x/textの依存関係が中程度の脆弱性に対応
- Usageコントローラが所有権判定時にすべてのownerReferencesをチェックするようになり、composedなリソースの無限再調和とXR circuit breakerの発動を防止
- sigstore stack (rekor, timestamp-authority, sigstore-go)がcosignと共に更新
- コンテナイメージがbuildGoModuleでビルドされ、標準的な脆弱性スキャンツールに対応
Crossplaneをスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。