Open Policy Agent (OPA)
v1.21.3Security2026年10月19日
署名検証の回避を修正し、検証設定の扱いを見直したセキュリティメンテナンスリリースです。署名なしデルタバンドルについては、対象を限定したオプトアウトも追加されています。
要対応 (1)
securityバンドル署名検証の回避を修正しました
GHSA-g2pf-6v5v-qcc8 に関係する、バンドル署名検証の回避を修正しました。
影響確認 (1)
security
signingブロックに基づく検証設定bundles[_].またはsigning discovery.を設定している場合に適用されます。signing 検証は
signingブロックの有無に基づいて行われるようになりました。keyidは使用するキーの選択だけを担います。
その他の記録済み変更 3 件すべてadditions 2 · value changes 1
additions (2)
- or the new
(*VerificationConfig)..WithOptionalSignature() - can opt out per bundle with the new
bundles[_].(orsigning. allow_unsigned_delta_bundles discovery.) field.signing. allow_unsigned_delta_bundles
value changes (1)
- OPA now logs a warning at startup for bundles in this state.
Open Policy Agent (OPA)をスタックに追加
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。