リリース

要対応 (3)

• security依存関係の更新

  依存関係を更新し、セキュリティアドバイザリに対応しました。

• securityEnvFromのクリアによるシークレット名漏えい対策

  removeContainersDataでEnvFromをクリアし、シークレット名が漏えいしないようにしました。

• securityEnv[].ValueFromのクリア

  removeContainersDataとremoveEphemeralContainersDataでEnv[].ValueFromをクリアするようにしました。

影響確認 (1)

• securitySentry OIDCディスカバリーでのX-Forwarded-Host利用条件の変更

  Sentry OIDCを利用している場合に適用されます。

影響確認 (1)

• securityazure_imdsのノードアテーション文書検証を修正

  azure_imdsサーバーノードアテスタープラグインを使用している場合に適用されます。

影響確認 (1)

• securityazure_imds のノード証明書検証の修正

  サーバーのノードアテスター・プラグイン azure_imds を使用している場合に適用されます。

要対応 (1)

• securitycriticalgolang.org/x/net を v0.55.0 に更新

  golang.org/x/net を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。

要対応 (1)

• breakingfgprofプロファイルの同時実行を拒否

  APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。

影響確認 (1)

• securitymediumredoc/dompurify の更新による CVE-2026-41240 対応

  redoc/dompurify を /ui で使用している場合に適用されます。

要対応 (1)

• breakinggRPC server supportの削除

  gRPC server supportを削除しました。

要対応 (1)

• securitygolang.org/x/crypto を v0.52.0 に更新

  依存モジュール golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (6)

• securitygo.opentelemetry.io/otel の更新

  go.opentelemetry.io/otel を v1.41.0 に更新しました。

• securitygithub.com/in-toto/in-toto-golang の更新

  github.com/in-toto/in-toto-golang を v0.11.0 に更新しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.19.0 に更新しました。

• securityGo 1.25.10への更新

  Go を 1.25.10 に更新し、標準ライブラリのCVEsに対応しました。

• securitygithub.com/go-git/go-git/v5 の更新

  github.com/go-git/go-git/v5 を v5.19.1 に更新しました。

• securitygolang.org/x/crypto の更新

  golang.org/x/crypto を v0.52.0 に更新しました。

要対応 (2)

• securityModule Federation パッケージの v2.3.3 更新

  既知の脆弱性に対応するため、Module Federation パッケージが v2.3.3 に更新されました。

• breaking@remixicon/react の依存バージョン制限

  ライセンス変更により、@remixicon/react の依存バージョンは 4.9.0 未満に制限されました。

要対応 (6)

• securityhighHTTP/2 CONTINUATION フレーム大量送信によるサービス拒否の修正

  CVE-2026-33871 に関する、HTTP/2 CONTINUATION フレームの大量送信によるサービス拒否の問題を修正しました。

• securityhighChunked Extension 解析を悪用した HTTP リクエストスマグリングの修正

  CVE-2026-33870 に関する、Chunked Extension の Quoted-String 解析を悪用した HTTP リクエストスマグリングの問題を修正しました。

• securityhighbouncycastle に関する複数の問題の修正

  CVE-2026-0636、CVE-2026-3505、CVE-2026-5598 に関する bouncycastle の問題を修正しました。

• securityhighリダイレクト URI 検証回避の修正

  CVE-2026-7504 に関する、Keycloak のリダイレクト URI 検証を回避できる問題を修正しました。

• securitymediumbcpkix モジュールの暗号アルゴリズム問題の修正

  CVE-2026-5588 に関する、Bouncy Castle Crypto Package For Java の bcpkix モジュールで、危険または破損した暗号アルゴリズムが使用される問題を修正しました。

• security権限およびポリシー呼び出し順序による client ID 露出の修正

  権限とポリシーの呼び出し順序によって client ID が露出する問題を修正しました。

要対応 (1)

• security名前空間をまたぐプロキシ列挙と設定ダンプ取得の認可修正

  認証済みのワークロードが、別の名前空間にあるワークロードのプロキシを列挙し、設定ダンプを取得できていた問題を修正しました。対象には istio.io/debug/syncz と istio.io/debug/config_dump が含まれます。

要対応 (1)

• securityXDSデバッグエンドポイントの名前空間認可を修正

  StatusGenが提供する istio.io/debug/syncz と istio.io/debug/config_dump に、非システム呼び出し元への同一名前空間認可が適用されるようになりました。別の名前空間のワークロードについて、プロキシの列挙や設定ダンプの取得ができないように修正されています。

要対応 (1)

• securityhighgo.opentelemetry.io/otel/sdk の v1.40.0 への更新

  GO-2026-4394 への対応として、go.opentelemetry.io/otel/sdk を v1.40.0 に更新しました。

影響確認 (1)

• securitymediumCVE-2026-44247 によるWebhookサーバーのメモリ枯渇を修正

  Volcano webhook server を実行している場合に適用されます。

影響確認 (1)

• securitymediumCVE-2026-44247によるVolcano webhook serverのメモリ不足停止を修正

  Podがネットワーク経由でVolcano webhook serverのエンドポイントにアクセスできる場合に該当します。

影響確認 (1)

• securitymediumCVE-2026-44247 によるWebhookサーバーのOOM問題を修正

  Volcano webhook server が稼働している場合に適用されます。

要対応 (1)

• securitymediumgolang.org/x/imageをv0.39.0に更新

  GO-2026-4962を解消するため、golang.org/x/imageをv0.39.0に更新しました。

影響確認 (1)

• securityRBAC の認可バイパス修正

  RBAC を利用している場合に適用されます。