RATATOSKRATATOSK
ログイン

Dapr

v1.19.1Orchestration & Management
2026年10月31日

ACTION 6CHECK 6OTHER 3

アクセス制御、分離、サービス拒否、クラッシュに関わる問題を修正した、セキュリティ重視の保守リリースです。公開ポートのエンドポイントやgRPCメタデータサイズの扱いには、既存の利用方法に影響する変更があります。

要対応 (6)

  • security内部 gRPC プロキシの宛先をローカルアプリに限定

    内部ポートの gRPC プロキシはローカルアプリ宛ての呼び出しだけを処理し、それ以外の宛先には PermissionDenied を返すようになりました。

  • securityジョブターゲットのキー接頭辞を修正

    Schedulerがジョブターゲット用のキー接頭辞を必ず区切り文字で終えるようになりました。これにより、id_prefix_match はAPIドキュメントどおりアクターリマインダーのIDにだけ適用されます。

  • securitySentryの許可ホスト値を制限

    値には、任意の数値ポートを付けたホストだけを指定できます。ユーザー情報、パス、クエリ、フラグメントは使用できず、ホストまたはホストとポートが許可ホスト一覧に含まれていない場合はSentryが 403 を返します。

  • securityディスカバリードキュメントのキャッシュを無効化

    リクエストホストから作成したディスカバリードキュメントに Cache-Control: no-store を付けて送信するようになりました。

  • securitygRPCリクエストヘッダーのサイズ制限

    gRPC APIサーバーと内部gRPCサーバーが、リクエストヘッダーのサイズを --read-buffer-size バイトまでに制限するようになりました。最小値は64 KiBです。

  • securityAPIトークン比較を定時間化

    HTTPとgRPCのAPIトークン検証で、実行時間が入力値に依存しない比較を使うようになりました。

影響確認 (6)

  • securitymediumDAPR_API_TOKEN のパス比較を修正

    DAPR_API_TOKEN を設定している場合に適用されます。

    APIトークンミドルウェアがルーターと同じエスケープ済みパスを比較するようになり、パーセントエンコードされたヘルスチェックパスにもAPIトークンが必要になりました。対象は DAPR_API_TOKEN の設定です。関連する勧告は GHSA-59m6-82qm-vqgj です。

  • securityHTTPサービス呼び出しのメソッド照合を修正

    HTTPアプリを利用している場合に適用されます。

    アクセス制御ポリシーとの照合で、アプリがルーティングするメソッドに合わせて、パーセントエンコード文字を1回デコードしてから小文字化するようになりました。

  • securityWatchJobs の内部アクター型検証を強化

    WatchJobs を利用している場合に適用されます。

    Schedulerは、呼び出し元のアプリと名前空間に属さない内部アクター型（dapr.internal.*）を宣言する、またはその同時実行数を制限する WatchJobs ストリームを PermissionDenied で拒否するようになりました。

  • security公開ポートの PUT /v1.0/metadata/{key} を廃止

    PUT /v1.0/metadata/{key} を利用している場合に適用されます。

    公開ポートの PUT /v1.0/metadata/{key} は 404 を返すようになりました。このリクエストはDaprのHTTP APIポートに送る必要があります。

  • security保存値の復号時パニックを修正

    primaryEncryptionKey を設定している場合に適用されます。

    保存された値が復号時にDaprをパニックさせる問題を修正しました。対象は primaryEncryptionKey を設定している構成です。

  • securityトランザクショナルアウトボックスのID検証とパニックを修正

    トランザクショナルアウトボックスを利用している場合に適用されます。

    トランザクショナルアウトボックスが任意の id を受け入れず、作成するマーカーキー outbox-<uuid> だけを対象にするようになりました。datacontenttype フィールドがないメッセージによるDaprのパニックも修正しました。

その他の記録済み変更 3 件すべてsecurity fixes 1 · fixes 1 · value changes 1

security fixes (1)

  • For HTTP apps, the access control check now always uses the HTTP verb from the request, the same verb that is sent to the app.

fixes (1)

  • The sidecar closes the connection when opening the stream fails, and closes it when the stream ends.

value changes (1)

  • Dapr now uses modernc.org/sqlite v1.42.2.
Daprをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。

スタックに追加 →
公式リリースノート ↗Daprのリリース一覧 →