CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
このリリースには、Go標準ライブラリの脆弱性に対応するツールチェーンと関連イメージの更新が含まれています。これらの対応を反映するには、リリースのアップグレードが必要です。
要対応 (2)
securityGoツールチェーンの1.への更新
ツールチェーンのGoを1.へ更新し、Go標準ライブラリの脆弱性に対処しました。
securitygrpc-health-probeのv0.への更新
grpc-health-probeをv0.へ更新し、Go 1.で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。
セキュリティ修正が1件含まれ、運用に関わる正確性の修正も複数入っています。nftablesバックエンドの自動フォールバックに加え、Istio ambient、ゲートウェイ、ルーティング、CNIの動作が修正されています。
要対応 (1)
securityhighEnvoyのメモリ枯渇を引き起こすサービス拒否の修正
CVE-2026-47774を修正しました。認証されていないリモート攻撃者が、細工したHTTP/2リクエストでEnvoyプロセスのメモリを過剰消費させ、サービス拒否を引き起こせる問題です。Cookieヘッダーのバイト数がリクエストヘッダーサイズの検証に完全には含まれず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。
公開されたEnvoyのサービス拒否脆弱性と、正確性に関する不具合を修正しています。運用者にはセキュリティ修正のためのアップグレードが該当し、その他の修正では設定変更は必要ありません。
要対応 (1)
securityhighEnvoyのメモリ枯渇によるサービス拒否脆弱性の修正
CVE-2026-47774では、認証なしのリモート攻撃者が細工したHTTP/2リクエストを送信すると、Envoyプロセスのメモリを枯渇させてサービス拒否を引き起こせる問題がありました。リクエストヘッダーサイズの検証でCookieヘッダーのバイト数が完全には計上されず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。
セキュリティ修正と複数の不具合修正に加え、運用者向けの機能追加や依存関係の更新が含まれます。機能ゲートによる保護が解除された変更も含まれるため、該当する API の利用状況を確認する必要があります。
要対応 (1)
securityhighEnvoy のメモリ枯渇によるサービス拒否を修正
CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。
影響確認 (1)
breakingListenerSet の機能ゲート保護を解除
ListenerSet APIを利用している場合に適用されます。
HTTP/2のセキュリティ修正、サードパーティ依存関係の脆弱性修正、OAuth2のタイミングサイドチャネル修正を含みます。レスポンスボディの内容とロードバランサー再構築の既定動作も変わるため、該当する構成では運用上の確認が必要です。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。
影響確認 (4)
securityhighHTTP/2ヘッダー制限へのCookie計上
HTTP/2を使用しており、envoy.を有効にしていない場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
oauth2を使用している場合に適用されます。
breakingHTTPレスポンスボディからの上流失敗理由の除外
routerを使用しており、envoy.を有効にしていない場合に適用されます。
認証、認可、アカウントおよび管理 API、フェデレーション、依存ライブラリに関するセキュリティ修正を含みます。起動時の動作や SPI の設定、その他の正確性に関する修正も追加されています。
要対応 (2)
securityhighlodash のコードインジェクション脆弱性を修正
CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。
securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正
CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。
影響確認 (15)
securitymediumKeycloak Server のアクセス制御を修正
account/api を利用している場合に該当します。
securitymediumOIDC トークンイントロスペクションの notBefore 処理を修正
oidc を利用している場合に該当します。
securitymediumサーバー側 WebAuthn 検証の不足を修正
authentication/webauthn を利用している場合に該当します。
アップグレードが必要となるセキュリティ修正に加え、通常の正確性修正が含まれています。残る見出しのみの項目には、運用者向けの変更はありません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
nghttp2 の CVE-2026-27135 パッチが適用されました。
影響確認 (2)
securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策
HTTP/2を使用している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正
oauth2を使用している場合に適用されます。
このリリースには、HTTP通信と認証に関わるセキュリティ修正が含まれます。HTTP/2の上限設定やOAuth2フィルターなど、該当する機能を使う構成に関係します。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
nghttp2にCVE-2026-27135のパッチを適用しました。
影響確認 (2)
securityhighHTTP/2のヘッダー上限処理の変更
HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
OAuth2フィルターを使用している場合に適用されます。
v1.35.11は、HTTP/2やOAuth2に関するセキュリティ修正と依存関係の更新を含むリリースです。該当機能を利用している場合は更新が必要で、その他の変更はこのリリースを採用する以外の運用作業を求めません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
http2でnghttp2のCVE-2026-27135パッチを適用しました。
影響確認 (2)
securityhighHTTP/2ヘッダー上限違反時のストリームリセット
HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。
securityOAuth2 HMAC検証のタイミングサイドチャネル修正
OAuth2のHMAC検証を使用している場合に適用されます。
セキュリティ対応、記録ルールの移行、正確性に関する修正を含むリリースです。通常の修正ではオペレーターの対応は必要ありませんが、セキュリティ修正はアップグレードで適用し、非推奨の記録ルールは移行計画を立てる必要があります。
要対応 (2)
securitycriticalgoogle. のセキュリティ更新
google. を 1.79.3 に更新し、GHSA-p77j-4mvh-x3m3 に対応しました。
securityVMExport ディレクトリハンドラーのシンボリックリンク走査修正
VMExport のディレクトリハンドラーで、シンボリックリンクをたどる問題を修正しました。
事前準備 (1)
deprecated記録ルールの非推奨化
kubevirt_vm_created_total または kubevirt_vm_created_by_pod_total を使用している場合に適用されます。
v2.3.0には、依存関係に関するセキュリティ対応が含まれます。個別の脆弱性の内容は示されていないため、依存関係を管理する環境では確認対象となります。
要対応 (2)
securitywasmtime 44.のセキュリティパッチ適用
wasmtimeを44.へ更新し、セキュリティパッチを適用しました。
security報告済みセキュリティアドバイザリへの対応
報告されたセキュリティアドバイザリに対応する依存関係のパッチを適用しました。対象となる脆弱性の内容は示されていません。
containerd v2.1.8には、CVE-2026-46680に関する修正が含まれます。該当する脆弱性を確認している環境に関係するリリースです。
要対応 (1)
securityhighCVE-2026-46680の修正
CVE-2026-46680に関する修正です。
アルファ段階のスケジューリング機能、新しいフラグやHelm設定が加わり、スケジューラと統合部分の安定性、メトリクスやログの挙動も変わります。アップグレード時にはKubernetesとDRAの互換性要件、DRAスケジューリング統合の既定値、サービス拒否およびPrometheusに関するセキュリティ修正を確認する必要があります。
要対応 (4)
securitymediumgithub.の更新
github.を更新し、格納型XSSのアドバイザリGHSA-vffh-x6r8-xx99に対応しました。
securitymediumadmission webhookのリクエスト本文制限
admission webhookへのリクエスト本文のサイズを制限し、サイズの大きい本文によってwebhookサーバーがメモリ不足になるサービス拒否のリスクを修正しました。関連する識別子はCVE-2026-44247とGHSA-8wxp-xxp2-rcgxです。
breakingDRAスケジューリング統合の既定有効化
DRAスケジューリング統合が既定で有効になりました。対象となる設定項目はpredicate.です。
breakingKubernetes 1.34以降に合わせたDRA既定値の変更
Kubernetes 1.34以降の挙動に合わせ、DRAスケジューリング統合が既定で有効になりました。無効にする場合はpredicate.を設定します。
影響確認 (2)
breakingSchedulingGatesQueueAdmissionの有効化条件
SchedulingGatesQueueAdmissionを有効にする場合に適用されます。
breakinggang-awareプリエンプションとリクレームの設定条件
gangPreemptとgangReclaimを設定し、preemptまたはreclaimを設定していない場合に適用されます。
スケジューリングのオーバーフロー対応と、スケジューリング時のリソース超過を防ぐ仕組みが加わり、API、既定値、制約、メトリクス、フラグにも変更があります。セキュリティ対応としてベースイメージが更新され、複数の不具合も修正されています。
要対応 (1)
securityalpine ベースイメージを alpine:3. に更新
ベースイメージ alpine が alpine:3. から alpine:3. に更新されました。
影響確認 (9)
breakingoverflowAffinities による補助クラスターグループの指定
overflowAffinities を設定する場合に適用されます。
breakingLt と Gt を使う配置許容条件の拒否
spec. に Lt または Gt を設定する場合に適用されます。
breakingkarmada-operator の既定の詳細度を2に変更
オペレーターを実行する場合に適用されます。
依存関係の更新、正確性の修正、クラウド機能とクエリ機能の追加、設定や出力の変更を含むリリースです。識別された脆弱性に対応するセキュリティ関連の依存関係更新も行われています。
要対応 (1)
securityhighGo依存関係の更新
脆弱性のあるGo依存関係が更新され、GHSA-xmrv-pmrh-hhx2 と CVE-2026-34986 に対応しました。
影響確認 (1)
breakingMCPサーバーのデフォルト無効化
MCP_SERVER_ENABLED を設定しない場合に適用されます。
Trustee、KBS、アテステーション、プラットフォーム対応に関する変更を含み、4件の非推奨化が告知されています。セキュリティアドバイザリの修正も含まれます。
要対応 (1)
securityGHSA-84rc-2q4r-45pc の修正
GHSA-84rc-2q4r-45pc のセキュリティアドバイザリに対応しました。
事前準備 (4)
deprecatedpacker-built CAA podvm image の非推奨化0.17から · 0.22で削除予定
packer-built CAA podvm image を使用している場合に該当します。
deprecatedCAA docker provider の非推奨化0.20から · 0.22で削除予定
CAA docker provider を使用している場合に該当します。
deprecatedFedora-based mkosi-built CAA podvm image の非推奨化0.20から · 0.22で削除予定
Fedora-based mkosi-built CAA podvm image を使用している場合に該当します。
運用向けの正確性修正を中心に、CLIやレポート機能、匿名化、性能、検証、依存関係に関する保守更新を含むリリースです。セキュリティに関わる修正も2件あり、運用者に影響しないリリース工程の変更も含まれます。
要対応 (3)
security依存関係の更新
依存関係を更新し、セキュリティアドバイザリに対応しました。
securityEnvFromのクリアによるシークレット名漏えい対策
removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。
securityEnv[].のクリア
removeContainersDataとremoveEphemeralContainersDataでEnv[].をクリアするようにしました。
影響確認 (3)
security/v1/resultsのIDOR対策強化
/v1/resultsを使用している場合に適用されます。
breakingpdf/html outputの既定出力先をファイルに変更
pdf/html outputを使用している場合に適用されます。
breakingpushの既定値をfalseに変更
pushを使用している場合に適用されます。
HTTPProxy の不正な設定に関するセキュリティ修正が含まれます。依存関係とツールチェーンが更新され、Kubernetes 1.32 から 1.34 でテストされています。
要対応 (1)
securitycriticalgolang. を v0.55.0 に更新
golang. を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。
影響確認 (1)
securitymediumHTTPProxy の不正なフォールバック証明書設定を拒否
HTTPProxy で fallback certificate を設定し、JWT verification を有効にしている場合に適用されます。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
Linuxに関する複数の脆弱性が修正されたリリースです。Linuxのセキュリティ更新を確認している環境に関係します。
要対応 (1)
securitycriticalLinuxの脆弱性修正
Linuxの更新で、CVE-2024-36476、CVE-2024-39282、CVE-2024-53681、CVE-2024-54031、CVE-2024-57795、CVE-2024-57801、CVE-2024-57802、CVE-2024-57841、CVE-2024-57844、CVE-2024-57857、CVE-2024-57882、CVE-2024-57883、CVE-2024-57884、CVE-2024-57885、CVE-2024-57886、CVE-2024-57887、CVE-2024-57888、CVE-2024-57889、CVE-2024-57890、CVE-2024-57891、CVE-2024-57892、CVE-2024-57893、CVE-2024-57894、CVE-2024-57895、CVE-2024-57896、CVE-2024-57897、CVE-2024-57898、CVE-2024-57899、CVE-2024-57900、CVE-2024-57901、CVE-2024-57902、CVE-2024-57903、CVE-2024-57930、CVE-2024-57931、CVE-2024-57932、CVE-2024-57933、CVE-2024-57934、CVE-2024-57935、CVE-2024-57936、CVE-2024-57937、CVE-2024-57938、CVE-2024-58237、CVE-2025-21629、CVE-2025-21630、CVE-2026-43490、CVE-2026-43492、CVE-2026-43495、CVE-2026-43496、CVE-2026-43497、CVE-2026-43502、CVE-2026-43503、CVE-2026-46300、CVE-2026-46333に関する脆弱性が修正されました。
このリリースは、CVEで識別されたLinuxのセキュリティ修正を含む更新です。Linuxを利用する環境に関係する内容です。
要対応 (1)
securitycriticalLinuxのセキュリティ修正
Linuxの更新には、CVE-2026-43316を含むCVEに関するセキュリティ修正が含まれています。
対応エンジンや出力の整理に加え、falco-webuiのアクセス範囲が見直されています。ルールと設定の機能追加、複数の不具合修正、依存関係の更新も含まれますが、セキュリティアドバイザリの告知はありません。
要対応 (1)
breakinggRPC server supportの削除
gRPC server supportを削除しました。
影響確認 (5)
securityplugin library pathのパストラバーサル防止
plugin library pathを設定している場合に該当します。
breakinggRPC outputの削除
gRPC outputを使用している場合に該当します。
breakinggVisor engineサポートの削除
gVisor engineを使用している場合に該当します。
依存モジュールの更新と、golang. に関するセキュリティ修正を含みます。SSH と SSH エージェント関連の機能を利用している環境では、該当する修正内容の確認が必要です。
要対応 (1)
securitygolang. を v0. に更新
依存モジュール golang. を v0. に更新しました。
影響確認 (13)
securitycriticalgolang. のキー制約適用を修正
golang. を使用している場合に該当します。
securitycriticalキー転送時のエージェント制約欠落を修正
golang. を使用している場合に該当します。
securitycritical予期しない応答によるサーバーデッドロックを修正
golang. を使用している場合に該当します。
依存モジュールとGoの更新を含むリリースです。標準ライブラリや複数の依存モジュールに関するセキュリティ対応が行われています。
要対応 (7)
securitygithub.をv29.へ更新
github.をv29.へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。
securitygolang.をv0.へ更新
golang.をv0.へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。
securitygithub.をv0.へ更新
github.をv0.へ更新し、依存モジュールのセキュリティ対応を行いました。
securitygithub.をv5.へ更新
github.をv5.へ更新し、依存モジュールのセキュリティ対応を行いました。
securityGoを1.へ更新
Goを1.へ更新し、標準ライブラリのCVEsに対応しました。
securitygithub.をv5.へ更新
github.をv5.へ更新し、依存モジュールのセキュリティ対応を行いました。
securitygolang.をv0.へ更新
golang.をv0.へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。
セキュリティ関連の依存関係とGoのバージョンが更新され、HTTP/2で不正な設定値を受け取った際の無限ループも修正されています。利用にはGoおよび依存関係のバージョン更新が必要です。設定移行や非推奨化の告知はありません。
要対応 (6)
securitygo. の更新
go. を v1.41.0 に更新しました。
securitygithub. の更新
github. を v0.11.0 に更新しました。
securitygithub. の更新
github. を v5.19.0 に更新しました。
securityGo 1.25.10への更新
Go を 1.25.10 に更新し、標準ライブラリのCVEsに対応しました。
securitygithub. の更新
github. を v5.19.1 に更新しました。
securitygolang. の更新
golang. を v0.52.0 に更新しました。
影響確認 (1)
securityhighHTTP/2トランスポートの無限ループ修正
適用対象はリリースノートに明記されていません。
v2.2.2では、依存モジュールやGoのバージョンが更新されています。セキュリティ修正に関わる変更が含まれるため、該当する依存関係や標準ライブラリを利用する環境に関係するリリースです。
要対応 (5)
securitygithub. の v0.11.0 更新
セキュリティ対応として、github. を v0.11.0 に更新しました。
securitygithub. の v5.19.0 更新
セキュリティ対応として、github. を v5.19.0 に更新しました。
securityGo 1.25.10 への更新
標準ライブラリの CVE を修正するため、Go を 1.25.10 に更新しました。
securitygithub. の v5.19.1 更新
セキュリティ対応として、github. を v5.19.1 に更新しました。
securitygolang. の v0.52.0 更新
セキュリティ対応として、golang. を v0.52.0 に更新しました。
Crossplane v2.3.0では、外部 API の依存先パスとリソース型名が変わり、crossplane-runtime の common API も移動しました。依存モジュールと Go の更新により、セキュリティ対応も行われています。
要対応 (14)
securitygithub. の更新
github. を v1.6.3 に更新しました。
securitygoogle. の更新
google. を v1.79.3 に更新しました。
securityOTLP HTTP エクスポーターの更新
go. を v1.43.0 に更新しました。
securitygithub. の更新
github. を v5.17.1 に更新しました。
securitygithub. の更新
github. を v4.1.4 に更新しました。
securitygithub. の更新
github. を v3.0.5 に更新しました。
securitygithub. の更新
github. を v29.2.0+incompatible に更新しました。
securitygithub. の更新
github. を v2.0.6 に更新しました。
securityGo 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub. の更新
github. を v0.5.1 に更新しました。
securitygithub. の更新
github. を v5.18.0 に更新しました。
securitygithub. の更新
github. を v0.11.0 に更新しました。
securitygolang. の更新
golang. を v0.53.0 に更新しました。
securityGo 1.25.10 への更新
標準ライブラリの CVE 修正に対応するため、Go を 1.25.10 に更新しました。
影響確認 (3)
breakingCrossplane API の依存先パス変更
Crossplane API の外部利用側を構築している場合に適用されます。
breakingcommon API の移動
crossplane-runtime の common API を利用している場合に適用されます。
breakingリソース型名の変更
従来の v1. 型を利用している場合に適用されます。
セキュリティ関連の更新が含まれ、そのうち一つは依存関係の更新です。互換性、検証、ポリシー、サンドボックス、オーバーレイ、マウント、ツールチェーンにも変更があります。
要対応 (2)
securityhighCVE-2026-46680 に関するセキュリティ更新
CVE-2026-46680 に関するセキュリティ更新です。
securityhighgo-jose/go-jose を v4.1.4 に更新
go-jose/go-jose を v4.1.4 に更新し、GHSA-78h2-9frx-2jm8 を修正しています。
セキュリティ対応と既定のソケットポリシー変更が含まれます。変更内容は seccomp に関するものです。
要対応 (1)
securityhighCVE-2026-46680 の修正
CVE-2026-46680 に対応しました。関連するアドバイザリは GHSA-fqw6-gf59-qr4w です。
影響確認 (1)
breakingseccomp のデフォルトソケットポリシー変更
seccomp を使用している場合に適用されます。
containerd v1. には、CVE-2026-46680 として開示されたセキュリティ修正が含まれます。セキュリティ advisory の対象を確認している利用者に関係するリリースです。
要対応 (1)
securityhighCVE-2026-46680 に関するセキュリティ修正
CVE-2026-46680 が開示され、関連する advisory として GHSA-fqw6-gf59-qr4w が示されています。
ランタイム、スナップショッター、ストレージ、サーバーの不具合修正に加え、seccompの強化とCVE対応が含まれます。user namespaceでのoverlayfsのrebase機能を無効化し、Runcのtask fieldsを非推奨としています。APIとGoツールチェーンも更新されています。
要対応 (1)
securityhighCVE-2026-46680への対応
CVE-2026-46680に関する修正が含まれます。
影響確認 (1)
breakingoverlayfsのuser namespaceにおけるrebase機能を無効化
overlayfsを使用し、user namespaceで実行している場合に該当します。
事前準備 (1)
deprecatedRunc optionsのtask fieldsを非推奨化
Runc optionsでtask fieldsを設定している場合に該当します。
