RATATOSKRATATOSK
ログイン

etcd

v3.7.1Kubernetes Core
2026年7月23日

etcd v3.7.1 は、キーのプリフィックス照合を通じたウォッチ権限迂回脆弱性(GHSA-xg4h-6gfc-h4m8、中)を修正するセキュリティパッチです。同時に HTTP 処理のメモリ安全性、タイムアウト設定、データ競合に関する複数の堅牢化修正が含まれています。

  • securityウォッチ権限チェックの迂回を修正

    あるキーに対する読み取り権限を持つユーザが、そのキーで始まるすべてのキーのウォッチ応答を受け取れました。修正はv3.7.1に含まれています(GHSA-xg4h-6gfc-h4m8)。

主な変更 (7)

  • セキュリティ: キープリフィックスマッチングによるウォッチ権限チェック迂回を修正(GHSA-xg4h-6gfc-h4m8)
  • ピアリース HTTP ハンドラの無制限 io.ReadAll を修正し、メモリ使用量を制限
  • スナップショットサイズ処理の上限を設定するデフォルト snapshotLimitByte を追加
  • クライアント HTTP サーバに ReadHeaderTimeout を追加してスローヘッダー接続問題を軽減
  • コスト計算で入れ子の RequestTxn を無視していた costTxnReq を修正
  • clientv3 の leaseCache.entries に対する非同期レンジ処理によるデータ競合を修正
  • TLS リスナーに tlsHandshakeTimeout を追加してハンドシェイクハングを防止
etcdをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。

スタックに追加 →
原文 ↗etcdのリリース一覧 →