リリース

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。

影響確認 (2)

• securitycriticalバックアップ復元時のPath Traversal対策

  バックアップストレージを使用している場合に該当します。

• securityhigh復元時の外部デコンプレッサーコマンドの既定動作変更

  外部デコンプレッサーコマンドを使用し、--external-decompressor-use-manifestを指定していない場合に該当します。

影響確認 (2)

• securityMANIFESTからの圧縮コマンド読み込みをオプトイン化

  --external-decompressor-use-manifestを使用している場合に適用されます。

• securitybackupengineのMANIFEST経由のパストラバーサルを阻止

  backupengineが実行される場合に適用されます。

要対応 (2)

• securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正

  CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。

• securitylowCVE-2025-5416 に関する環境情報の問題を修正

  keycloak-core における環境情報に関する問題を修正しました。

要対応 (1)

• securityhighcgoバイナリへのコード混入を防ぐ修正

  GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。

要対応 (1)

• securityリソースアノテーションの文字検証

  リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。

影響確認 (1)

• security@backstage/plugin-techdocs-node のセキュリティ修正

  @backstage/plugin-techdocs-node を使用している場合に適用されます。

影響確認 (1)

• securitymediumDNS応答のキャッシュ順序によるcert-manager controllerのパニック修正

  適用対象はリリースノートに明記されていません。