リリース

要対応 (3)

• securityhighgoogle.golang.org/grpc の 1.82.1 への更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte のデフォルト値変更

  snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。

• breakingclient http.Server の ReadHeaderTimeout 設定

  client http.Server に ReadHeaderTimeout を設定しました。

要対応 (5)

• securitycriticalgolang.org/x/net の更新

  golang.org/x/net を 0.54.0 から 0.55.0 に更新し、CVE-2026-25681、CVE-2026-27136、CVE-2026-39821、CVE-2026-42502、CVE-2026-25680、CVE-2026-42506 に対応しました。

• securityhighキーの watch 応答に関する認可問題の修正

  1つのキーへの読み取り権限を付与されたユーザーが、そのキー以降のすべてのキーに関する watch 応答を受け取れていた認可上の問題を修正しました。GHSA-xg4h-6gfc-h4m8 に対応しています。

• securityhightlsListener の TLS ハンドシェイクタイムアウト設定

  tlsListener に tlsHandshakeTimeout を設定しました。GHSA-6vch-q96h-7gc3 に対応しています。

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

• breakingsnapshotLimitByte の既定値設定

  snapshotLimitByte に妥当な既定値を設定しました。

要対応 (5)

• securityhighwatch 応答の権限分離を修正

  あるキーの読み取り権限だけを持つユーザーに、そのキー以降のすべてのキーに対する watch 応答が届くセキュリティ問題を修正しました。関連するアドバイザリは GHSA-xg4h-6gfc-h4m8 です。

• securityhightlsListener の TLS ハンドシェイクタイムアウト設定

  tlsListener に tlsHandshakeTimeout を設定しました。詳細は GHSA-6vch-q96h-7gc3 を参照してください。

• securityhighgolang.org/x/net の更新

  golang.org/x/net を v0.56.0 に更新し、GO-2026-5942 に対応しました。

• securityhighgolang.org/x/text の更新

  golang.org/x/text を v0.39.0 に更新し、GO-2026-5970 に対応しました。

• securityhighgoogle.golang.org/grpc の更新

  google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

要対応 (7)

• securitygithub.com/sigstore/rekor を v1.5.2 に更新

  github.com/sigstore/rekor を v1.5.2 に更新しました。セキュリティ修正を含むバージョンです。

• securitygithub.com/sigstore/cosign/v3 を v3.0.6 に更新

  github.com/sigstore/cosign/v3 を v3.0.6 に更新しました。セキュリティ修正を含むバージョンです。

• securitygithub.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新

  github.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新しました。セキュリティ修正を含むバージョンです。

• securitygithub.com/sigstore/sigstore-go を v1.2.0 に更新

  github.com/sigstore/sigstore-go を v1.2.0 に更新しました。セキュリティ修正を含むバージョンです。

• securitygrpc、golang.org/x/net、golang.org/x/text のセキュリティ更新

  grpc、golang.org/x/net、golang.org/x/text のセキュリティ更新をまとめて適用しました。

• securitygolang.org/x/text を v0.39.0 に更新

  golang.org/x/text を v0.39.0 に更新しました。セキュリティ修正を含むバージョンです。

• securitygolang.org/x/net を v0.56.0 に更新

  golang.org/x/net を v0.56.0 に更新しました。セキュリティ修正を含むバージョンです。

要対応 (5)

• securitygithub.com/sigstore/rekor の v1.5.2 への更新

  github.com/sigstore/rekor を v1.5.2 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.6 への更新

  github.com/sigstore/cosign/v3 を v3.0.6 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の v2.1.0 への更新

  github.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新しました。

• securitygithub.com/sigstore/sigstore-go の v1.2.0 への更新

  github.com/sigstore/sigstore-go を v1.2.0 に更新しました。

• securitygrpc、x/net、x/text の依存関係更新

  grpc、x/net、x/text のセキュリティ関連の依存関係を更新しました。

要対応 (7)

• securitygithub.com/sigstore/rekor の更新

  github.com/sigstore/rekor を v1.5.2 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の更新

  github.com/sigstore/timestamp-authority/v2 を v2.1.0 に更新しました。

• securitygithub.com/sigstore/cosign/v2 の更新

  github.com/sigstore/cosign/v2 を v2.6.3 に更新しました。

• securityGo 1.25.12 への更新

  ビルドに使用する Go を 1.25.12 に更新しました。

• securitygithub.com/sigstore/sigstore-go の更新

  github.com/sigstore/sigstore-go を v1.2.0 に更新しました。

• securitygrpc、x/net、x/text の更新

  grpc、x/net、x/text のセキュリティ対応更新をまとめて適用しました。

• securitygolang.org/x/text の更新

  golang.org/x/text を v0.39.0 に更新しました。

要対応 (4)

• securitygithub.com/sigstore/rekor の更新

  依存モジュール github.com/sigstore/rekor を v1.5.2 に更新しました。

• securityGo 1.25.12 への更新

  セキュリティ対応として、Go を 1.25.12 に更新しました。

• securityalpine Docker タグの更新

  Docker の alpine タグを v3.24 に更新しました。

• securitygrpc、x/net、x/text の更新

  grpc、x/net、x/text の依存関係をセキュリティ対応の更新にまとめて引き上げました。

要対応 (3)

• securitymediumgithub.com/go-chi/chi/v5 の更新

  github.com/go-chi/chi/v5 を v5.2.4 に更新し、CVE-2025-69725 を解消します。

• securitymediumMongoDBドライバーとコンポーネント依存関係の更新

  go.mongodb.org/mongo-driver を v1.17.7 に更新し、github.com/dapr/components-contrib の依存バージョンを v1.18.3 に引き上げます。

• breaking子ワークフローを示す競合エラー

  子ワークフローが作成を妨げている場合、作成リクエストは競合エラーになります。エラーには、該当する子ワークフローが示されます。

要対応 (1)

• securitygraphql/server の依存関係更新

  graphql/server の依存関係を更新し、脆弱性に対処しました。

要対応 (1)

• securityセキュリティ関連の依存関係更新

  #16340 に含まれるセキュリティ関連の依存関係更新を release-1.18 にバックポートしました。

要対応 (1)

• securitycontainerd v1 依存の削除

  govulncheck で報告された CVE を解消するため、containerd v1 への依存を削除しました。対象の識別子は 037733e7d51b08e30a0233bd546c345ab3ea3bba です。

要対応 (2)

• securityDocker依存関係のMoby移行

  github.com/docker/docker の依存関係を github.com/moby/moby 相当へ移行し、CVEを解消しました。

• breakingヘルスチェックのRPCメトリクス出力停止

  Agentのヘルスチェックで行うループバック呼び出しは、RPC メトリクスを出力しなくなり、メトリクスのノイズが減りました。

要対応 (1)

• securitycriticalLinuxの脆弱性修正

  Linuxで CVE-2026-46242 をはじめ、列挙された複数の脆弱性が修正されています。

要対応 (1)

• securitycriticalLinuxのCVEアドバイザリ対応

  Linuxについて、CVE-2026-46242 など、列挙されたCVEアドバイザリへの対応が含まれています。

要対応 (1)

• securitymediumsanitize-html の更新

  UIで使用する sanitize-html を v2.17.5 に更新し、CVE-2026-53606 を修正しました。

要対応 (1)

• securityアカウント乗っ取り前の攻撃につながる問題を修正

  アカウント乗っ取り前の攻撃につながる余地が残る問題を修正しました。

要対応 (1)

• securityサードパーティ依存関係の更新

  TiKV 8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。

要対応 (1)

• securityhighgolang.org/x/crypto の v0.52.0 への更新

  golang.org/x/crypto を v0.52.0 に更新し、CVE-2026-46598、CVE-2026-39835、CVE-2026-39828、CVE-2026-46597 に対応しました。

要対応 (1)

• securitycriticalCVE-2026-33186 に対応する gRPC 実装を更新

  thanos-community/grpc-go のフォークを更新し、形式不正な :path ヘッダーを利用した認可バイパスを修正しました。対象は CVE-2026-33186 です。

要対応 (1)

• securityGo 1.25.10への更新

  CVE対応のため、Go が 1.25.10 に更新されました。

要対応 (3)

• securityGo 1.25.10 への更新

  Go を 1.25.10 に更新し、CVE 対応を行いました。

• securitygolang.org/x/crypto v0.52.0 への更新

  golang.org/x/crypto を v0.52.0 に更新し、CVE 対応を行いました。

• securitygolang.org/x/net v0.55.0 への更新

  golang.org/x/net を v0.55.0 に更新し、CVE 対応を行いました。

要対応 (1)

• securityblob-mountとトークンの検証を強化

  blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。

要対応 (2)

• securityhighOpenTelemetry依存関係の更新

  go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

• securityhighgolang.org/x/crypto の更新

  golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (1)

• securityhighOpenTelemetry依存関係を更新

  go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

要対応 (2)

• securitycriticalsanitize-htmlの更新

  UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。

• breakingサードパーティライセンスの提供方法を変更

  サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.txtで提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.tar.bz2は置き換えられています。

要対応 (1)

• securityhighquinn-proto の RUSTSEC-2026-0185 修正

  quinn-proto の RUSTSEC-2026-0185 を修正しました。

要対応 (1)

• securityGoの1.26.4への更新

  Goを1.26.4へ更新し、CVE対応を行いました。

要対応 (1)

• securityalpine ベースイメージの更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新され、セキュリティ上の懸念に対応しています。

要対応 (1)

• securityalpine ベースイメージの更新

  ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新されました。セキュリティ上の懸念に対応するための変更です。

要対応 (1)

• securityベースイメージ alpine の更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.4 から alpine:3.24.1 に更新されました。

要対応 (8)

• securityhighgroup-adminからrealm-adminへの権限昇格

  CVE-2026-9099により、group-adminからrealm-adminへ権限を昇格できる問題が修正されました。

• securityhighURI検証の回避によるクロスサイトスクリプティング

  CVE-2026-9086に該当する、URI検証の大文字小文字を区別しない判定を回避したクロスサイトスクリプティング（XSS）の問題が修正されました。

• securityhigh不適切なスコープマッピング適用による権限昇格

  CVE-2026-9795に該当する、不適切なスコープマッピングの適用による権限昇格の問題が修正されました。

• securityhighURI比較の誤りによる認可回避

  CVE-2026-9800に該当する、URI比較の誤りによるKeycloak policy enforcerの認可回避の問題が修正されました。

• securityhighJWTアルゴリズムの混同による認証回避

  CVE-2026-11800に該当する、JWTアルゴリズムの混同を利用した認証回避の問題が修正されました。

• securitymedium任意のファイルシステムパス探索による情報漏えい

  CVE-2026-9083に該当する、任意のファイルシステムパスの探索による情報漏えいの問題が修正されました。

• securitymedium無効化されたクライアントの再有効化と乗っ取り

  CVE-2026-9705に該当する、registration access tokenを使って無効化されたクライアントを再有効化し、乗っ取れる問題が修正されました。

• securitymediumUMA permission ticket回避によるリソースへの不正アクセス

  CVE-2026-9799に該当する、UMA permission ticketの回避によるリソースへの不正アクセスの問題が修正されました。

要対応 (2)

• securityhighGoのv1.25.11への更新

  Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。

• securityGoの1.25.10へのアップグレード

  報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

要対応 (1)

• securityhighGo を v1.26.4 に更新

  Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。

要対応 (7)

• securityhighZstd decompressor の展開比率制限を修正

  Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。

• securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正

  PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。

• securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正

  HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium破棄後の非同期トークン変更コールバックを修正

  フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。

• securitymediumピア証明書の SAN 検証における NUL バイト処理を修正

  SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリー名の長さの妥当性確認を修正

  クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。

• securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正

  HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。

要対応 (4)

• securitymediumHTTP 303内部リダイレクトの処理修正

  ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。

• securitymedium非同期トークン変更コールバックの破棄後実行を修正

  フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。

• securitymedium証明書SANのNULバイト処理を修正

  ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。

• securitymediumクエリ名の長さの整合性確認を修正

  クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。

要対応 (12)

• securityhighCVE-2026-47220 のクラッシュを修正

  CVE-2026-47220 に関するクラッシュの不具合が修正されました。

• securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正

  CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。

• securityhighCVE-2026-48042 の JSON 入れ子深度を制限

  CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。

• securitymediumCVE-2026-47692 の不具合を修正

  CVE-2026-47692 に関する不具合が修正されました。

• securitymediumCVE-2026-47205 の use-after-free クラッシュを修正

  CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。

• securitymediumCVE-2026-48090 の非同期コールバック処理を修正

  CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。

• securitymediumCVE-2026-47778 の SAN 検証を修正

  CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。

• securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正

  CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。

• securitymediumCVE-2026-48497 のクエリ名長検査を修正

  CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。

• securitymediumCVE-2026-47775 のパディングオラクルに対処

  CVE-2026-47775 に関するパディングオラクルの問題に対処しました。

• securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正

  GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。

• breakingメッセージのログレベルを warn に変更

  メッセージのログ出力レベルが warn になりました。

要対応 (16)

• securityhighWasm依存関係の更新

  Wasmで使用する com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。

• securityhighREQUESTED_SERVER_NAME のクラッシュ修正

  REQUESTED_SERVER_NAME の処理でクラッシュする問題を修正しました。CVE-2026-47220 と GHSA-j9wh-4qfm-wf2v に対応しています。

• securityhighzstd RLE zip bombの修正

  zstdのRLE zip bombに関する問題を修正しました。CVE-2026-48044 と GHSA-m3p9-47wh-88wg に対応しています。

• securityhigh入れ子の深いJSONによるスタックオーバーフロー修正

  深く入れ子になったJSONのデストラクタでスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 と GHSA-f24p-rxw2-g6pv に対応しています。

• securityhighHTTP/3からHTTP/1へのリクエストスマグリング修正

  Content-Length がゼロ以外のヘッダーのみのリクエストによって、HTTP/3からHTTP/1へのリクエストスマグリングが発生する問題を修正しました。CVE-2026-48743 と GHSA-8phg-2h2q-jgxf に対応しています。

• securitymediumルート単位の認可処理のクラッシュ修正

  ルート単位の認可処理でクラッシュする問題を修正しました。CVE-2026-47205 と GHSA-mvh9-767w-x47j に対応しています。

• securitymediumext_proc レスポンス処理の修正

  ext_proc のレスポンスを1つのgRPCメッセージで処理する際の問題を修正しました。CVE-2026-47207 と GHSA-68cv-hq5f-g6xv に対応しています。

• securitymediumルーター内部リダイレクトのクラッシュ修正

  ルーターの内部リダイレクトでクラッシュする問題を修正しました。CVE-2026-47221 と GHSA-rcff-gw58-pjpr に対応しています。

• securitymediumOAuth2コード検証値の修正

  OAuth2コード検証値のパディングオラクルに関する問題を修正しました。CVE-2026-47775 と GHSA-396h-jpq4-vc7p に対応しています。

• securitymediumgrpc_stats フィルターのセグメンテーション違反修正

  Connectプロトコルのリクエストが direct_response ルートに送られた際、grpc_stats フィルターでセグメンテーション違反が発生する問題を修正しました。CVE-2026-47204 と GHSA-3jxh-8p6x-7pf6 に対応しています。

• securitymediumPROXY Protocol v2 ヘッダー生成の修正

  PROXY Protocol v2 ヘッダー生成器が「skipped」TLVを出力し、攻撃者が制御する最大65 KBのデータが上流アプリケーションのストリームに流れ込む問題を修正しました。CVE-2026-47692 と GHSA-wh36-hm39-mm3r に対応しています。

• securitymediumTLS SAN切り詰め処理の認証回避修正

  TLS SANの切り詰め処理で埋め込みNULが認証を回避できる問題を修正しました。CVE-2026-47778 と GHSA-f8x4-rw5x-f3r7 に対応しています。

• securitymediumOAuth2非同期トークン処理の修正

  OAuth2フィルターで、ストリーム破棄後に非同期トークン処理が完了すると解放済みメモリの使用やクラッシュにつながる問題を修正しました。CVE-2026-48090 と GHSA-3cj2-c63f-q26f に対応しています。

• securitymediumDNS UDPフィルターの異常終了修正

  DNS UDPフィルターでプロセスが異常終了する問題を修正しました。CVE-2026-48497 と GHSA-j6g2-wf95-q66q に対応しています。

• securitymediumTcpStatsdSink のヒープバッファオーバーフロー修正

  TcpStatsdSink でヒープバッファオーバーフローが発生する問題を修正しました。CVE-2026-48706 と GHSA-7q3f-gwg7-j8g4 に対応しています。

• securityHTTP/3のQPACK処理に関するサービス拒否の修正

  QPACK のデコードがブロックされた際にHTTP/3スタックでサービス拒否が発生する問題を修正しました。GHSA-p7c7-7c47-pwch に対応しています。

要対応 (1)

• securityhighcom_github_wasmtimeの更新

  CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。

要対応 (1)

• securityhigh深く入れ子になった JSON のスタックオーバーフロー修正

  深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。

要対応 (1)

• securityhigh深くネストしたJSONのスタックオーバーフローを修正

  深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。