Crossplane

v2.4.1Orchestration & Management

2026年9月15日

パッケージリビジョン間の引き継ぎ修正と、依存関係のセキュリティ更新を含むメンテナンスリリースです。gRPCの勧告への対応やツールチェーンの更新も行われています。

要対応 (3)

securityhighgoogle.golang.org/grpcの更新
google.golang.org/grpcをv1.83.2へ更新し、上流のCVE修正を取り込みます。gRPCの勧告GHSA-2v4p-qf9q-27wjも対象です。
GHSA-2v4p-qf9q-27wj
securityGo toolchainと依存関係のセキュリティ更新
Go toolchainを1.26.7へ更新し、上流で修正されたCVEを取り込みます。あわせてgoogle.golang.org/grpcをv1.83.2、golang.org/x/cryptoをv0.56.0へ更新し、github.com/crossplane/crossplane/apis/v2をv2.4.0へ更新、ロックファイルも刷新しています。
GHSA-2v4p-qf9q-27wj
securitygolang.org/x/cryptoの更新
golang.org/x/cryptoをv0.56.0へ更新し、上流で修正されたCVEを取り込みます。Go toolchainは1.26.7、google.golang.org/grpcはv1.83.2へ更新され、github.com/crossplane/crossplane/apis/v2の更新とロックファイルの刷新も行われています。
GHSA-2v4p-qf9q-27wj

その他の記録済み変更 2 件すべてfixes 1 · value changes 1

* **Package revisions now take control of established objects from the revision they replace:** An outgoing package revision could fail to relinquish control of the package's CRDs, leaving the incoming revision permanently unhealthy with cannot establish control of object. The provider's pod would never be created, so that provider could do no work without manual intervention by someone either deleting the stale revision or editing the CRD's owner reference by hand. Package revisions now directly take control from the revision they replace, so the hand-off succeeds without any intervention. Backported in #7821, originally fixed in #7733.

* **Dependency security updates:** Bumps the Go toolchain to 1.26.7 (#7803), google.golang.org/grpc to v1.83.2 (#7800, #7826), and golang.org/x/crypto to v0.56.0 (#7810) to pick up upstream CVE fixes — including the gRPC advisory [GHSA-2v4p-qf9q-27wj](https://github.com/grpc/grpc-go/security/advisories/GHSA-2v4p-qf9q-27wj). Also bumps github.com/crossplane/crossplane/apis/v2 to v2.4.0 (#7780) and refreshes the lock file (#7779).

Crossplaneをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチも、その一例です。