リリース

要対応 (1)

• securitygoogle.golang.org/grpc の更新

  スキャナーが報告した脆弱性への対応として、google.golang.org/grpc を更新しました。この脆弱性は cert-manager には影響しないものの、スキャナーの報告を受けて更新されています。

要対応 (1)

• securityエージェントレベルでのセレクター記録停止

  機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（#6732）。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (2)

• securityhighGo を v1.25.5 に更新

  Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。

• breakingIssuer 参照の kind と group の既定値を変更

  Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

要対応 (1)

• securityGolang標準ライブラリと共通パッケージの依存関係更新

  Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。

要対応 (2)

• securitycritical報告された脆弱性の修正

  報告された脆弱性を修正するパッチリリースです。特に CVE-2025-68121 への対応が含まれています。

• securitycriticalGo の更新

  CVE-2025-68121 に対応するため、Go を更新しました。

要対応 (3)

• securitycriticalgoの更新

  CVE-2025-68121への対応として、goが更新されました。

• securityhigh報告された脆弱性を修正するパッチリリース

  v1.19.4は、報告された脆弱性を修正するパッチリリースです。CVE-2026-24051とCVE-2025-68121が修正対象として挙げられており、すべてのユーザーにアップグレードが案内されています。

• securityhighotel SDKの更新

  GO-2026-4394への対応として、otel SDKが更新されました。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (2)

• securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正

  CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。

• securitylowCVE-2025-5416 に関する環境情報の問題を修正

  keycloak-core における環境情報に関する問題を修正しました。

要対応 (1)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

要対応 (1)

• securitycriticalビルド用Goを1.25.7へ更新

  OPAのバイナリとイメージのビルドに使うGoを1.25.7へ更新しました。Go標準ライブラリには、GO-2026-4337の修正が含まれています。

要対応 (1)

• securitycriticalgo 1.25.7への更新

  ツールチェーンの go を 1.25.7 に更新し、CVE-2025-68121 に対応しました。

要対応 (1)

• securityotel/sdk の v1.40.0 への更新

  otel/sdk を v1.40.0 に更新し、以前のバージョンに存在する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 に対応します。

要対応 (4)

• securityhighCVE-2026-1609 による無効化ユーザーのトークン取得を修正

  CVE-2026-1609 により、無効化されたユーザーでも JWT Authorization Grant を使ってトークンを取得できる問題を修正しました。

• securityhighCVE-2026-1529 による組織間自己登録を修正

  CVE-2026-1529 により、偽造した招待用 JWT で組織をまたいだ自己登録が可能になる問題を修正しました。

• securityhighCVE-2026-1486 の JWT Authorization Grant の認証バイパスを修正

  CVE-2026-1486 により、無効化されたアイデンティティープロバイダーを使った認証が可能になる、JWT Authorization Grant のロジックバイパスを修正しました。

• securitymedium/uma-policy/ の所有権チェックを修正

  CVE-2025-14778 に関連する /uma-policy/ の所有権チェックの不備を修正しました。

要対応 (1)

• securityバージョン処理とインジェクションの修正

  b97f50ffb52b198a53b46b60e3743c302a8fb882 で、バージョン処理とインジェクションに関する問題を修正しました。

要対応 (1)

• securitymediumGHSA-gx3x-vq4p-mhhv のDoS問題を修正

  GHSA-gx3x-vq4p-mhhv に関するDoS問題を修正しました。全ユーザーに最新リリースへのアップグレードが案内されています。

要対応 (2)

• securityセキュリティ脆弱性への対処

  セキュリティ脆弱性に対処しました。

• securitykubectl image の更新による CVEs 対応

  kubectl image を更新し、CVEs に対処しました。

要対応 (2)

• securitymediumポリシー適用の不備を修正

  ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。

• breakingカスタム grpc_prometheus フォークの置き換え

  カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。

要対応 (1)

• securitystdlibのCVEに対応するgoバージョン更新

  goのバージョンを更新し、stdlibのCVEに対処しました。

要対応 (3)

• securitymediumnetty-codec-http のリクエストスマグリング脆弱性の修正

  netty-codec-http における CVE-2025-67735 の、CRLFインジェクションを利用したリクエストスマグリングの脆弱性が修正されています。

• securitymediumQuarkus RESTワーカースレッド枯渇の脆弱性の修正

  io.quarkus/quarkus-rest における CVE-2025-66560 の、Quarkus RESTワーカースレッド枯渇の脆弱性が修正されています。

• securitymedium無効化ユーザーへの不正なトークン発行の修正

  keycloak-services における CVE-2025-14559 の、無効化されたユーザーに不正なトークン発行を許してしまうビジネスロジックの欠陥が修正されています。

要対応 (1)

• securityhighgolang-jwt の更新による CVE-2025-30204 対応

  CVE-2025-30204 に対応するため、golang-jwt を更新しました。