RATATOSKRATATOSK
ログイン

リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度
すべて要対応影響確認事前準備
性格
すべてSecurityBreakingDeprecated
カテゴリ
すべてAI & MLCI/CD & App DeliveryKubernetes CoreNetworking & MessagingObservabilityOrchestration & ManagementProvisioning & RuntimeSecurityStorage & Data
プロジェクト: etcd解除 ×
etcdv3.7.1Kubernetes Core2026年7月23日
ACTION 3CHECK 1OTHER 2分析を詳しく見る

サーバーのデフォルト設定と動作が更新され、正確性に関わる問題も修正されています。公開済みの watch 権限の脆弱性に対処し、gRPC も公開済みのセキュリティアドバイザリに対応するバージョンへ更新されています。

要対応 (3)

  • securityhighgoogle.golang.org/grpc の 1.82.1 への更新

    google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

  • breakingsnapshotLimitByte のデフォルト値変更

    snapshotLimitByte に妥当な値を設定するよう、デフォルトを変更しました。

  • breakingclient http.Server の ReadHeaderTimeout 設定

    client http.Server に ReadHeaderTimeout を設定しました。

影響確認 (1)

  • securityhigh読み取り権限に応じた watch 応答範囲の修正

    適用対象はリリースノートに明記されていません。

    あるキーへの読み取り権限を持つユーザーが、そのキー以降のすべてのキーに対する watch 応答を受け取れてしまう問題を修正しました。GHSA-xg4h-6gfc-h4m8 に記載された問題です。

原文 ↗
etcdv3.6.14Kubernetes Core2026年7月23日
ACTION 5OTHER 5分析を詳しく見る

セキュリティ修正と依存関係の更新に加え、正確性や動作に関する変更も含まれます。セキュリティ修正と snapshotLimitByte の既定値変更を利用する運用者にはアップグレードが推奨されますが、その他の修正では設定変更は必要ありません。

要対応 (5)

  • securitycriticalgolang.org/x/net の更新

    golang.org/x/net を 0.54.0 から 0.55.0 に更新し、CVE-2026-25681、CVE-2026-27136、CVE-2026-39821、CVE-2026-42502、CVE-2026-25680、CVE-2026-42506 に対応しました。

  • securityhighキーの watch 応答に関する認可問題の修正

    1つのキーへの読み取り権限を付与されたユーザーが、そのキー以降のすべてのキーに関する watch 応答を受け取れていた認可上の問題を修正しました。GHSA-xg4h-6gfc-h4m8 に対応しています。

  • securityhightlsListener の TLS ハンドシェイクタイムアウト設定

    tlsListener に tlsHandshakeTimeout を設定しました。GHSA-6vch-q96h-7gc3 に対応しています。

  • securityhighgoogle.golang.org/grpc の更新

    google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

  • breakingsnapshotLimitByte の既定値設定

    snapshotLimitByte に妥当な既定値を設定しました。

原文 ↗
etcdv3.5.33Kubernetes Core2026年7月23日
ACTION 5OTHER 5分析を詳しく見る

正確性に関する修正とセキュリティ修正に加え、タイムアウト動作の変更、依存関係およびツールチェーンの更新を含みます。セキュリティ修正や依存関係の更新を確認したい場合に関係するリリースです。

要対応 (5)

  • securityhighwatch 応答の権限分離を修正

    あるキーの読み取り権限だけを持つユーザーに、そのキー以降のすべてのキーに対する watch 応答が届くセキュリティ問題を修正しました。関連するアドバイザリは GHSA-xg4h-6gfc-h4m8 です。

  • securityhightlsListener の TLS ハンドシェイクタイムアウト設定

    tlsListener に tlsHandshakeTimeout を設定しました。詳細は GHSA-6vch-q96h-7gc3 を参照してください。

  • securityhighgolang.org/x/net の更新

    golang.org/x/net を v0.56.0 に更新し、GO-2026-5942 に対応しました。

  • securityhighgolang.org/x/text の更新

    golang.org/x/text を v0.39.0 に更新し、GO-2026-5970 に対応しました。

  • securityhighgoogle.golang.org/grpc の更新

    google.golang.org/grpc を 1.82.1 に更新し、GHSA-hrxh-6v49-42gf に対応しました。

原文 ↗
etcdv3.7.0Kubernetes Core2026年7月8日
ACTION 1CHECK 1OTHER 4分析を詳しく見る

セキュリティ関連の修正に加え、認証処理と依存関係、ビルドツールチェーンの更新を含みます。依存関係の更新には x/crypto の更新も含まれます。

要対応 (1)

影響確認 (1)

  • securitygRPC リスナーにおける CRL 適用回避の修正

    --listen-client-http-urls を設定している場合に適用されます。

    --listen-client-http-urls を設定した場合に、gRPC リスナーで発生する CRL 適用の回避を修正しました。詳細は GHSA-3wh4-j44w-pg92 を参照してください。

原文 ↗
etcdv3.6.13Kubernetes Core2026年7月1日
ACTION 2CHECK 1OTHER 3分析を詳しく見る

v2非推奨設定の追加やWebSocket認証の修正に加え、CRL適用回避の修正、Goツールチェーンと依存関係の更新が含まれます。--listen-client-http-urls を設定している環境や更新対象の依存関係を利用している環境では、アップグレードが必要です。

要対応 (2)

  • securityhighOpenTelemetry依存関係の更新

    go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

  • securityhighgolang.org/x/crypto の更新

    golang.org/x/crypto を v0.52.0 に更新しました。

影響確認 (1)

  • securitygRPCリスナーにおけるCRL適用回避の修正

    --listen-client-http-urls を設定している場合に適用されます。

    --listen-client-http-urls を設定した場合に、gRPCリスナーでCRLの適用を回避できてしまう問題を修正しました。

原文 ↗
etcdv3.5.32Kubernetes Core2026年7月1日
ACTION 1CHECK 1OTHER 6分析を詳しく見る

gRPCリスナーにおけるCRL適用と、OpenTelemetry依存関係に関するセキュリティ修正を含むリリースです。--listen-client-http-urls の利用状況やOpenTelemetryの依存関係を確認している環境に関係します。

要対応 (1)

  • securityhighOpenTelemetry依存関係を更新

    go.opentelemetry.io/otel と go.opentelemetry.io/otel/sdk を v1.40.0 から v1.43.0 に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。

影響確認 (1)

  • securitygRPCリスナーのCRL適用回避を修正

    --listen-client-http-urls が設定されている場合に適用されます。

    --listen-client-http-urls を設定した場合に、gRPCリスナーでCRLの適用を回避できてしまう問題を修正しました。

原文 ↗
etcdv3.5.31Kubernetes Core2026年6月1日
ACTION 1OTHER 3分析を詳しく見る

依存関係の更新と正確性に関する修正を含むリリースです。GO-2026-5026 への対応として golang.org/x/crypto のアップグレードが必要です。

要対応 (1)

  • securitycriticalgolang.org/x/crypto を v0.52.0 に更新

    GO-2026-5026 への対応として、golang.org/x/crypto を v0.52.0 に更新しました。

原文 ↗
etcdv3.6.11Kubernetes Core2026年5月1日
ACTION 1CHECK 1OTHER 2分析を詳しく見る

動作とセキュリティに関わる修正を含み、GO-2026-4962に関連する依存関係も更新されています。ビルドに使用したGoツールチェーンの記録のほか、見出しやドキュメント、インストール手順も収録されています。

要対応 (1)

  • securitymediumgolang.org/x/imageをv0.39.0に更新

    GO-2026-4962を解消するため、golang.org/x/imageをv0.39.0に更新しました。

影響確認 (1)

  • securityトランザクション内の Put に対する RBAC 認可回避の修正

    RBACを使用している場合に適用されます。

    トランザクション内にネストされた Put リクエストで、PrevKv またはリースのアタッチメントを介して読み取りアクセスを許していた RBAC の認可回避を修正しました。

原文 ↗
etcdv3.5.30Kubernetes Core2026年5月1日
ACTION 1OTHER 2分析を詳しく見る

通常の不具合修正に加え、アップグレードが必要とされるセキュリティ修正を含みます。Goツールチェーンの依存関係更新も含まれ、残りは見出しまたはインストール文書です。

要対応 (1)

  • securityRBAC認可バイパスの修正

    RBACの認可バイパスを修正しました。etcdトランザクション内のPutリクエストで、PrevKvまたはリースのアタッチメントを介して読み取りアクセスが可能になる問題に対応しています。

原文 ↗
etcdv3.6.9Kubernetes Core2026年3月20日
ACTION 4CHECK 1OTHER 7分析を詳しく見る

認可回避の修正と、脆弱性に対応した依存関係およびツールチェーンの更新を含むリリースです。正確性に関する修正も含まれますが、オペレーターの設定変更や非推奨化の告知はありません。

要対応 (4)

  • securitycriticalgoogle.golang.org/grpc を 1.79.3 に更新

    google.golang.org/grpc を 1.79.3 に更新し、CVE-2026-33186 に対応しました。

  • securityhigh複数 API の認可回避を修正

    etcd server の複数の API で発生していた認可回避を修正しました。CVE-2026-33413 および GHSA-q8m4-xhhv-38mg に対応しています。

  • securityhighgo.opentelemetry.io/otel/sdk を v1.40.0 に更新

    go.opentelemetry.io/otel/sdk を v1.40.0 に更新しました。GO-2026-4394 に対応しています。

  • securityhighgolang.org/x/net を v0.51.0 に更新

    golang.org/x/net を v0.51.0 に更新し、GO-2026-4559 に対応しました。

影響確認 (1)

  • securitylowネストしたトランザクションの RBAC 認可チェックを修正

    ネストした etcd トランザクションと RBAC を使用している場合に該当します。

    ネストした etcd トランザクションと RBAC を使用している場合に該当します。ネストしたトランザクションが RBAC の認可チェックを回避する問題を修正しました。CVE-2026-33343 および GHSA-rfx7-8w68-q57q に対応しています。

原文 ↗
etcdv3.5.28Kubernetes Core2026年3月20日
ACTION 3CHECK 2OTHER 7分析を詳しく見る

通常の不具合修正に加え、公開済みのセキュリティ修正とセキュリティ対応の依存関係更新が含まれます。対応はアップグレードで行え、運用者による再設定は明示的に必要とされていません。

要対応 (3)

  • securitycriticalgoogle.golang.org/grpc を 1.79.3 に更新

    CVE-2026-33186 に対応するため、google.golang.org/grpc を 1.79.3 に更新しました。

  • securityhighgo.opentelemetry.io/otel/sdk を v1.40.0 に更新

    GO-2026-4394 に対応するため、go.opentelemetry.io/otel/sdk を v1.40.0 に更新しました。

  • securityhighgolang.org/x/net を v0.51.0 に更新

    GO-2026-4559 に対応するため、golang.org/x/net を v0.51.0 に更新しました。

影響確認 (2)

  • securityhigh未認証エンドポイントの認証チェックを強化

    未認証エンドポイントを使用している場合に適用されます。

    未認証エンドポイントに認証チェックを設け、複数のAPIで発生する認可バイパスを修正しました。CVE-2026-33413 に対応しています。

  • securitylowネストしたトランザクション操作の認証チェックを強化

    ネストしたトランザクション操作を使用している場合に適用されます。

    ネストしたトランザクション操作にも認証チェックを適用し、RBAC認可チェックのバイパスを修正しました。CVE-2026-33343 に対応しています。

原文 ↗
etcdv3.4.42Kubernetes Core2026年3月20日
ACTION 4OTHER 3分析を詳しく見る

認証チェックの適用により、APIとネストしたトランザクション操作に関わる認可バイパスが修正されています。依存関係も更新されているため、セキュリティ対応を確認している運用環境に関係するリリースです。

要対応 (4)

  • securitycriticalgoogle.golang.org/grpcを1.79.3へ更新

    google.golang.org/grpcを1.79.3へ更新し、CVE-2026-33186の問題に対応しました。

  • securityhigh未認証エンドポイントの認証チェック

    認証されていないエンドポイントに認証チェックを適用し、複数のAPIで発生していた認可バイパスを修正しました。対象はCVE-2026-33413およびGHSA-q8m4-xhhv-38mgです。

  • securityhighgolang.org/x/netをv0.51.0へ更新

    golang.org/x/netをv0.51.0へ更新し、GO-2026-4559の問題に対応しました。

  • securitylowネストしたトランザクション操作のRBAC認可チェック

    ネストしたetcdトランザクション操作でも認証チェックを強制し、RBACの認可チェックを回避できる問題を修正しました。対象はCVE-2026-33343およびGHSA-rfx7-8w68-q57qです。

原文 ↗
etcdv3.6.8Kubernetes Core2026年2月13日
ACTION 2PLAN 1OTHER 1分析を詳しく見る

フラグの削除時期が延期され、別のフラグでは非推奨化が取り消されます。依存関係とビルドツールチェーンが更新され、識別子付きのセキュリティアドバイザリに対応します。

要対応 (2)

事前準備 (1)

  • deprecated--max-snapshots の削除延期v3.8で削除予定

    --max-snapshots を使用している場合に該当します。

    --max-snapshots の削除予定が v3.7 から v3.8 に延期されます。

原文 ↗
etcdv3.5.27Kubernetes Core2026年2月13日
ACTION 1分析を詳しく見る

バイナリのコンパイルに使用する Go ツールチェーンが更新されています。セキュリティ修正を含むリリースです。

要対応 (1)

  • securityhighバイナリのコンパイルに go 1.24.13 を使用

    バイナリのコンパイルに使用する Go ツールチェーンが go 1.24.13 に変更されました。

原文 ↗
etcdv3.4.41Kubernetes Core2026年2月13日
ACTION 1分析を詳しく見る

Goの依存関係とツールチェーンをgo 1.24.13へ更新し、CVEと対応するGitHubアドバイザリに対応する内容です。プラットフォームの見出しやインストール手順の記載は、リリース変更ではありません。

要対応 (1)

原文 ↗
月別に見る
2026年8月2026年7月2026年6月2026年5月2026年4月2026年3月2026年2月2026年1月2025年12月2025年11月2025年10月2025年9月2025年8月2025年7月2025年6月2025年5月2025年4月2025年3月2025年2月2025年1月2024年12月2024年11月2024年10月2024年9月2024年8月2024年7月2024年6月2024年5月2024年4月2024年3月2024年2月2024年1月2023年12月2023年11月2023年10月2023年9月