NATS

v2.15.2Networking & Messaging

2026年10月26日

Goのセキュリティ更新を含む保守リリースです。認証、証明書処理、JetStreamスナップショット、`leafnode` ACL、MQTTのOCSP動作に関する正確性の修正も含まれます。

要対応 (1)

securityGo 1.27.3への更新
Goを1.27.3に更新し、eMudhraの中間証明書を信頼しないことでCVE-2026-111943への対策を含めています。

securityleafnode接続におけるACLの許可判定修正
leafnode接続を使用している場合に適用されます。
leafnode接続のACLがallow/denyリストを上書きし、$MQTT.>の権限を暗黙に許可することはなくなりました。

その他の記録済み変更 5 件すべてfixes 5

- Allowed connection types are now correctly respected in auth callout setups
- Fixed a potential queue sub weight amplification in the sublist
- OCSP responses are now correctly bound to the certificate serial number
- Restored v1 stream snapshots now correctly guard against excessive subject lengths, subject counts or block counts
- OCSP verification for MQTT connections now correctly obeys the ocsp_peer option in the mqtt block

NATSをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。今回のセキュリティパッチも、その一例です。