Flux

v2.9.4CI/CD & App Delivery

2026年8月7日リンクをコピー

Flux v2.9.4は、tarball抽出、refspec処理、HTTPリクエスト制限、OCI digestピニング、GCS認証スコープの5つの検証およびリソース制限の問題に対応するセキュリティパッチであり、ArtifactGeneratorとImageUpdateAutomationのCRDスキーマ変更を含みます。同時アップグレードが必須です。

• securityTarball抽出とglob境界の厳格化

  source-watcherのtarball抽出とglob展開がバウンド制限され、ディレクトリトラバーサルとリソース枯渇を防止します。修正はv2.2.3に含まれ、すべてのFluxインストールが対象です。

• securityImageUpdateAutomationのrefspecフォース更新と削除をブロック

  ImageUpdateAutomationがrefspec経由のforce-updateと削除を禁止し、Githistoryの意図しない上書きを防止します。修正はv1.2.4に含まれ、ImageUpdateAutomationを使用する場合に適用されます。

• securityHTTPサーバーリクエスト制限の統一

  notification-controllerのHTTPサーバーリクエスト制限が統一され、オーバーサイズリクエストからのリソース枯渇を防止します。修正はv1.9.3に含まれ、すべてのFluxインストールが対象です。

• securityOCIチャート検証をdigestでピン留め

  source-controllerのOCIチャート検証がdigestピニングを必須にし、署名なしまたは改ざんされたチャートの置換を防止します。修正はv1.9.4に含まれ、OCIチャートの検証を行う場合に適用されます。

• securityGCS静的認証をサービスアカウントキーにスコープ制限

  Bucket sourcesのGCS静的認証がサービスアカウントキーのみにスコープ制限され、意図しないアクセス権限を付与するおそれのある認証情報タイプをブロックします。修正はv1.9.4に含まれ、Bucket sourceがGCS静的認証を使用する場合に適用されます。

• breakingArtifactGeneratorとImageUpdateAutomationのCRDスキーマ更新

  ArtifactGeneratorとImageUpdateAutomationのCRDスキーマが変更されています。コントローラーアップグレード時に両CRDを更新する必要があり、互換性の問題を避けるためにCRDとコントローラーの同時アップグレードが必須です。