セキュリティ上の告知を受け、Ceph のアップグレードが案内されています。rook mgr module の無効化に加え、CephX キーのフォールバックに失敗した際は実際のエラーを報告するよう改善されています。
影響確認 (2)
security
CVE-2025–30156に伴うCephのアップグレード案内Cephに依存している場合に適用されます。breaking
rook mgr moduleの無効化rook mgr moduleを有効にしている場合に適用されます。
リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
レガシーなV2 linked-cloneボリュームの扱いが変わり、Kubernetes v1.以降が必要です。内部通信のネットワークポリシーとmTLSの適用範囲が広がり、V2やバックアップなどに関する不具合も修正されています。
影響確認 (6)
breaking内部向け
NetworkPolicyのデフォルト有効化クラスタで
NetworkPolicyプロバイダーを利用できる場合に該当します。breakingクロスネームスペースのPrometheus通信に関する制約
クロスネームスペースのPrometheusスクレーパーを使用している場合に該当します。
breakinginstance-manager gRPCサービス全体へのmTLS適用
longhorn-grpc-tlsシークレットを設定している場合に該当します。- リリースページにあと 3 件
事前準備 (1)
deprecatedレガシーV2 linked-cloneボリュームの非推奨化
v1.以前に作成されたV2の12. 0 linked-cloneボリュームを使用している場合に該当します。
設定項目やリソース管理機能の追加に加え、max_ts の無効な更新に対する既定の扱いが変わり、依存関係も更新されています。正確性、メモリ使用量、安定性に関する修正も含まれています。
要対応 (1)
securityサードパーティ依存関係の更新
TiKV8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。
影響確認 (1)
breaking無効な
max_ts更新を既定で拒否storage.を設定していない場合に適用されます。max-ts. action-on-invalid-update
内部データベースのメジャーバージョン更新、キャッシュバックエンドの置き換え、依存関係とコンポーネントの更新、不具合修正を含むリリースです。セキュリティ関連では、トークンとblob-mountの検証が強化されています。
要対応 (1)
security
blob-mountとトークンの検証を強化blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。
影響確認 (2)
breaking内部データベースを
PostgreSQL 18へ自動更新PostgreSQLを利用している場合に適用されます。breakingキャッシュバックエンドを
valkeyへ変更redisを利用している場合に適用されます。
v2.5.0では、運用時の機能やプロキシ、ダウンロードの挙動が変更され、非推奨APIの削除と正確性に関する修正も行われています。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breakingヘルスチェックの
/healthyへの統合ヘルスチェックが
/healthyエンドポイントに統合されました。
影響確認 (1)
breaking非推奨の
V1preheat APIエンドポイントの削除非推奨の
V1preheat APIエンドポイントを利用している場合に適用されます。
オペレーター向けの設定と動作が変わり、デフォルト値の変更や古いリソースの削除が含まれます。セキュリティアドバイザリの記載はなく、golang. の依存関係更新にもセキュリティ上の理由は示されていません。
影響確認 (2)
breaking古い
MDS and RGW pdbsの削除MDS and RGW pdbsを設定している場合に適用されます。breaking
csi-addonsのデフォルト無効化csi-addonsを有効にしている場合に適用されます。
保守と機能拡張を中心に、設定や既定動作の変更、削除、運用上の前提や制限を含むリリースです。多数の不具合修正も含まれますが、セキュリティアドバイザリや明示的な脆弱性の報告はありません。
影響確認 (5)
breaking
V2 Backing Imagesの削除V2 Backing Imagesを利用している場合に該当します。breaking
data-engine-cpu-maskのデフォルト値変更data-engine-cpu-maskを設定していない場合に該当します。breaking旧CLI APIバージョンのengine imageにおけるライブマイグレーション制限
CLI APIのバージョンが12未満のengine imageを使用している場合に該当します。
- リリースページにあと 2 件
バグ修正に加え、互換性や動作の変更、Go依存関係の更新、メトリクスの追加と削除、運用面の改善が含まれます。セキュリティアドバイザリや、セキュリティに明確に関係する修正は開示されていません。
要対応 (2)
breaking
SELECTリスト内の修飾なし*を拒否vtgateは、SELECTリストでコンマの後に修飾なしの*が続く場合、そのクエリを拒否するようになりました。breaking
sqlparserの単独*制限を文法に適用sqlparserの文法で、単独の*に対する制限が適用されるようになりました。
影響確認 (1)
breaking
EmergencyReparentShardのレプリケーション停止エラーの送信元を限定EmergencyReparentShardを使用している場合に適用されます。
新しい機能の追加と既存機能の保守、動作の正確性や依存関係の更新を含むリリースです。設定のデフォルト値やバックアップ処理、削除・非推奨となったインターフェースを確認する必要があり、セキュリティ修正と外部圧縮解除処理の強化も含まれます。
要対応 (3)
security機密情報の平文ログ出力への対処
コードスキャンアラート
no.で指摘された、機密情報の平文ログ出力に対処しました。2992 security
GetBackupsのディレクトリトラバーサル対策ファイルバックアップストレージの
GetBackupsRPCにおけるディレクトリトラバーサルに対処しました。breaking修飾なしの
*を含むSELECTの扱い変更SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。
影響確認 (12)
security
MANIFESTからの圧縮解除コマンド読み込み変更適用対象はリリースノートに明記されていません。
securityバックアップ
MANIFESTを介した外部コマンド実行の制限バックアップストレージを使用している場合に適用されます。
security
backupengineのパストラバーサル対策backupengineが実行される場合に適用されます。- リリースページにあと 9 件
事前準備 (4)
deprecated
glogの非推奨化v25で削除予定glogを使用している場合に適用されます。deprecatedOpenTracingバックエンドの非推奨化v25で削除予定
opentracing-jaegerまたはopentracing-datadogを使用している場合に適用されます。deprecatedVTOrc Snapshot Topology機能の非推奨化v25で削除予定
--snapshot-topology-intervalを設定している場合に適用されます。- リリースページにあと 1 件
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された
bearer tokensの拒否プロジェクト作成前に発行された
bearer tokensは拒否されるようになりました。breaking
webhook event check用harbor IPのポート9443削除webhook event check用のharbor IPからポート9443が削除されました。
影響確認 (2)
breaking
pull-through cacheからproxy cacheへの変更Harborで
pull-through cacheを使用している場合に適用されます。breaking
GCR replicationの削除Harborで
GCR replicationを使用している場合に適用されます。
運用者向けの削除、デフォルトや動作の変更、CRDフィールドの追加、設定対応の拡張、依存関係の更新を含むリリースです。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breaking
nodes/proxyRBAC有効化設定の削除不要な
nodes/proxyRBACの有効化設定が削除されました。
影響確認 (2)
breaking
ceph image pull policyのデフォルト設定変更ceph image pull policyを設定していない場合に適用されます。breaking
automated node fencingの旧コード削除automated node fencingが実行される場合に適用されます。
V2 Data Engine の成熟に伴う機能や動作の更新に加え、V2 Backing Image の非推奨化、依存関係の更新、多数の修正が含まれます。hotfix image への置き換えも行われます。セキュリティアドバイザリの記載はありませんが、SPDK v25. のCVE issue修正が含まれています。
要対応 (1)
security
SPDK v25.の CVE issue を修正05 SPDK v25.の CVE issue が修正されます。05
影響確認 (7)
breakingLonghorn instance manager の hotfix image への置き換え
longhornio/longhorn-instance-manager:v1.を使用している場合に適用されます。11. 0 breakingLonghorn manager の hotfix image への置き換え
longhornio/longhorn-manager:v1.を使用している場合に適用されます。11. 0 breakingbackupstore 関連設定の削除
backupstore 関連の設定を構成している場合に適用されます。
- リリースページにあと 4 件
事前準備 (2)
deprecatedV2 Data Engine の
Backing Image機能を非推奨化v1.12.0で削除予定Backing Imageと V2 Data Engine を使用している場合に適用されます。deprecated
V2 Backing Image Featureの非推奨化V2 Backing Image Featureを使用している場合に適用されます。
オペレーターイメージの置き換えが必要なホットフィックスと、DNS クエリに関するセキュリティ上の不具合修正を含みます。通常の正確性修正に加え、新機能も含まれます。
影響確認 (2)
security
instance-managerによる DNS サーバーへの過剰な TXT クエリの修正ハードディスクまたはソリッドステートディスクを使用していない場合に適用されます。
breaking
backing-image-manager:v1.のホットフィックス版への置き換え10. 2 backing-image-manager:v1.を使用している場合に適用されます。10. 2
非推奨の deprecated preheat API endpoints が削除され、Dragonfly manager job API の未認証アクセスが修正されています。該当するAPIを利用している環境では、アップグレードが対応対象です。
影響確認 (2)
security
Dragonfly manager job APIの未認証アクセス修正Dragonfly manager job APIを利用している場合に適用されます。breaking
deprecated preheat API endpointsの削除deprecated preheat API endpointsを利用している場合に適用されます。
サポート対象や設定動作に互換性のある変更が入り、外部モードでのCSI Cephクライアント自動作成がなくなりました。ストレージ機能と調整処理の機能も追加されています。
影響確認 (4)
breakingサポート対象のKubernetesバージョンの変更
v1.から30 v1.までのKubernetesを実行している場合に適用されます。35 breaking
activeStandbyによるスタンバイMDSの動作変更activeStandbyをfalseに設定している場合に適用されます。breaking
rook-ceph-clusterチャートのCephイメージ設定変更rook-ceph-clusterチャートを使用している場合に適用されます。- リリースページにあと 1 件