RATATOSKRATATOSK
ログイン

Harbor

v2.15.3Storage & Data
2026年10月6日

ACTION 16CHECK 1OTHER 32

脆弱性の修正、依存関係の更新、アップロードおよびログのサイズ制限を含むセキュリティ重視の保守リリースです。あわせて、動作の正確性とログ処理も改善されています。

要対応 (16)

  • securitydistribution エンドポイントのパストラバーサル脆弱性の修正

    distribution エンドポイントにおけるパストラバーサルの脆弱性を修正しました。GHSA-qj39-pjf2-wmrc に対応しています。

  • securityシステムロボットの不正な管理者権限昇格の修正

    user:update 権限を持つシステムロボットがシステム管理者になれる問題を修正しました。GHSA-w5fq-xrhj-j7g2 に対応しています。

  • security全プロジェクト対象ロボットの権限付与処理の修正

    「すべてのプロジェクト」を対象とするロボットのスコープがグローバルワイルドカードとして扱われ、robot:update が付与される問題を修正しました。これにより、プロジェクト間でロボットを乗っ取り、所有者を締め出せる状態を防ぎます。GHSA-xq2m-cj8w-56v5 に対応しています。

  • security外部 auth-proxy の admin ID による管理者権限継承の修正

    外部 auth-proxy の ID が admin の場合に Registry のシステム管理者権限を継承する問題を修正しました。GHSA-xvh7-74g6-29xw に対応しています。

  • securityイミュータブルタグルールの複数セレクター評価の修正

    イミュータブルタグルールの照合で、複数のリポジトリまたはタグセレクターの先頭だけが評価される問題を修正しました。GHSA-27f2-qg57-2gwg に対応しています。

  • securityWebhook 配信の SSRF 脆弱性の修正

    Webhook 配信において、ProjectAdmin が内部サービスやクラウドメタデータエンドポイントへアクセスできる SSRF を修正しました。GHSA-2phj-cp9f-qq6w に対応しています。

  • securityスキャナー Bearer 認可リクエストの TLS 検証処理の修正

    スキャナーの Bearer 認可リクエストで TLS 検証が無効化され、レスポンス本文全体を読み込む問題を修正しました。GHSA-884q-mjcg-86x4 に対応しています。

  • securityJobservice における Webhook エラーレスポンスの展開制限

    Webhook のエラーレスポンスにより Jobservice で無制限の展開が発生する問題を修正しました。GHSA-jw3v-7jvc-pfmx に対応しています。

  • securityRegistry チャンクアップロードの Location ヘッダー検証

    Registry のチャンクアップロードで、検証されていない Location ヘッダーを再利用する問題を修正しました。GHSA-wjpm-hv5w-gxr6 に対応しています。

  • securityUser-Agent によるプルポリシー回避の修正

    攻撃者が制御する User-Agent ヘッダーによって、脆弱性および Content-Trust のプルポリシーを回避できる問題を修正しました。GHSA-wrw5-gmvj-gf23 に対応しています。

  • securityレプリケーションクライアントの Link ヘッダー処理の修正

    Registry レプリケーションクライアントで、攻撃者が制御するページネーションの Link ヘッダーによる SSRF と認証情報漏えいを修正しました。GHSA-xgp2-5vxg-rgh2 に対応しています。

  • securityAuthMode 参照失敗時のセキュリティミドルウェア処理の修正

    AuthMode の参照に失敗した後もセキュリティミドルウェアが処理を継続する問題を修正しました。GHSA-3x7c-wf86-mjx6 に対応しています。

  • securityロボット名の接頭辞によるプロキシキャッシュポイズニングの防止

    ロボット名の接頭辞を悪用したプロキシキャッシュポイズニングを防止しました。

  • securityCVE 修正に伴う Go 依存関係の更新

    CVE 修正のため Go 依存関係を更新しました。

  • breakingマニフェストアップロードのサイズ上限

    マニフェストのアップロードサイズに上限を設けました。

  • breaking監査ログペイロードのサイズ上限

    監査ログのペイロードサイズに上限を設けました。

影響確認 (1)

  • securityスキャナー認証情報フィールドのアクセス制御の修正

    scanner_registration.access_cred が設定されている場合に該当します。

    scanner_registration.access_cred に filter:"false" が設定されておらず、プロジェクト管理者がスキャナー認証情報を推測できる問題を修正しました。GHSA-vwvv-675v-p6rr に対応しています。

その他の記録済み変更 32 件すべてvalue changes 17 · fixes 6 · constraints 4

value changes (17)

  • * (cherry-pick) neutralize CSV formula in scan export by @stonezdj in https://github.com/goharbor/harbor/pull/23696
  • * [cherry pick] Remove hardcoded credentials and prevernt passwords in logs by @jUDASmILE in https://github.com/goharbor/harbor/pull/23865
  • * [cherry pick] improve HTTP client request logging and credential str… by @jUDASmILE in https://github.com/goharbor/harbor/pull/23876
  • * [cherry pick]refactor: sanitize connection details in logs and enhance error messa… by @jUDASmILE in https://github.com/goharbor/harbor/pull/23886
  • * chore(deps): bump the patch-updates group across 1 directory with 3 updates by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23728
  • * bump golang to v1.26.7 and refresh base image by @stonezdj in https://github.com/goharbor/harbor/pull/23797
  • * Bump trivy(0.74.0) and trivy adapter(0.39.0) by @stonezdj in https://github.com/goharbor/harbor/pull/23796
  • * (cherry-pick): bump golang.org/x/crypto to v0.55.0 by @stonezdj in https://github.com/goharbor/harbor/pull/23825
  • * Bump up distribution version by @stonezdj in https://github.com/goharbor/harbor/pull/23811
  • * chore(deps): bump github.com/go-asn1-ber/asn1-ber from 1.5.8-0.20250403174932-29230038a667 to 1.5.8 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23905
  • * chore(deps): bump github.com/go-openapi/runtime from 0.32.2 to 0.33.2 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23909
  • * chore(deps): bump github.com/aws/aws-sdk-go-v2/credentials from 1.19.19 to 1.20.3 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23908
  • * chore(deps): bump golang.org/x/sync from 0.22.0 to 0.23.0 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23904
  • * chore(deps): bump github.com/jackc/pgx/v5 from 5.10.0 to 5.11.0 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23902
  • * chore(deps): bump the patch-updates group across 1 directory with 2 updates by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23844
  • * chore(deps): bump the kubernetes group across 1 directory with 2 updates by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23898
  • * Bump up distribution version and refresh base image by @stonezdj in https://github.com/goharbor/harbor/pull/23991

fixes (6)

  • * (cherry-pick) fix: avoid panic in user audit event resolver on nil event data (#23461) by @Aloui-Ikram in https://github.com/goharbor/harbor/pull/23501
  • * (cherry-pick) fix: Constrain /registries/ping to the saved URL for existing registries (#23463) by @Aloui-Ikram in https://github.com/goharbor/harbor/pull/23502
  • * cherry-pick: fix(ui): use dark login background in dark mode by @bupd in https://github.com/goharbor/harbor/pull/23539
  • * (cherry-pick) fix: convert setup_timestamp, status_revision, and revision columns to bigint to avoid Y2K38 overflow (#23711) by @stonezdj in https://github.com/goharbor/harbor/pull/23719
  • * (cherry-pick): query robot account to validate proxy session and fix UT by @stonezdj in https://github.com/goharbor/harbor/pull/23780
  • * [CHERRY-PICK] fix(gc): do not count blobs missing from storage as freed space by @velmoga in https://github.com/goharbor/harbor/pull/23980

constraints (4)

  • * (cherry-pick) Add a size limit for manifest uploads by @Aloui-Ikram in https://github.com/goharbor/harbor/pull/23503
  • * (cherry-pick) add size limit for audit log payload by @stonezdj in https://github.com/goharbor/harbor/pull/23758
  • * make hostname comparisons case-insensitive by @stonezdj in https://github.com/goharbor/harbor/pull/23833
  • * (cherry-pick) make endpoint handling and validation case-insensitive by @stonezdj in https://github.com/goharbor/harbor/pull/23887
Harborをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →
公式リリースノート ↗Harborのリリース一覧 →