CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
バックアップ復元に関するセキュリティ修正を含み、外部デコンプレッサーの既定動作も変わります。外部デコンプレッサーまたはバックアップストレージを利用する環境では、直ちに更新が必要な内容です。
影響確認 (2)
securitycriticalバックアップ復元時のPath Traversal対策
バックアップストレージを使用している場合に該当します。
securityhigh復元時の外部デコンプレッサーコマンドの既定動作変更
外部デコンプレッサーコマンドを使用し、--external-decompressor-use-manifestを指定していない場合に該当します。
バックアップとリストアに関するセキュリティ変更に加え、複数の不具合修正とセキュリティ強化が含まれます。バックアップのMANIFESTの扱いが見直され、リストア時のパストラバーサルが防止されます。
影響確認 (2)
securityMANIFESTからの圧縮コマンド読み込みをオプトイン化
--external-decompressor-use-manifestを使用している場合に適用されます。
securitybackupengineのMANIFEST経由のパストラバーサルを阻止
backupengineが実行される場合に適用されます。
セキュリティ修正、新しい機能、既存の不具合修正を含むリリースです。運用担当者が事前に行う作業や、依存関係マニフェストへの追加はありません。
要対応 (2)
securitymediumCVE-2026-0707 のAuthorizationヘッダー解析問題を修正
CVE-2026-0707 に関して、Authorizationヘッダーの解析がセキュリティ制御の回避につながる問題を修正しました。
securitylowCVE-2025-5416 に関する環境情報の問題を修正
keycloak-core における環境情報に関する問題を修正しました。
影響確認 (4)
securitymediumCVE-2026-2575 による過剰なSAMLRequest展開の問題を修正
SAMLを利用している場合に適用されます。
securitylowCVE-2026-1190 によるSAMLブローカリングの応答遅延を修正
SAMLブローカリングを利用している場合に適用されます。
securitylowCVE-2026-2733 の無効化クライアント確認漏れを修正
Docker Registry Protocolを利用している場合に適用されます。
セキュリティ上の問題を修正し、ゲートウェイやデバッグエンドポイント、リソースアノテーションに関する保護を追加しています。TLS、cgoバイナリ、Kubernetesリソースの扱いに関係する環境では、変更内容の確認が必要です。
要対応 (1)
securityhighcgoバイナリへのコード混入を防ぐ修正
GoとC/C++のコメント解析の食い違いによって、生成されるcgoバイナリにコードを紛れ込ませられる問題を修正しました。CVE-2025-61732に対応しています。
影響確認 (4)
securitycriticalTLSセッション再開時の証明書設定検証
Config.で変更を加える場合、またはConfig.を使う場合に適用されます。
securityゲートウェイデプロイメントのリソース検証
ゲートウェイデプロイメントコントローラーが動作している場合に適用されます。
securityリソースアノテーションの文字検証
リソースアノテーションを設定する場合に適用されます。
アップグレードが必要なセキュリティ修正を含み、デバッグエンドポイントの利用制限も適用されます。Helmチャートの設定項目追加と、動作の正確性に関する修正も含まれます。
要対応 (1)
securityリソースアノテーションの文字検証
リソースアノテーションの検証で、改行文字と制御文字を拒否するようになりました。テンプレートのレンダリングによって Pod 仕様へコンテナが注入されることを防ぎます。関連する Issue は #58889 です。
影響確認 (2)
securityゲートウェイデプロイメントコントローラーのリソース検証
gateway deployment controller が動作する場合に適用されます。
breakingデバッグエンドポイントの名前空間単位認可
ポート 15014 のデバッグエンドポイントを利用している場合に適用されます。
DNS応答を想定外の順序でキャッシュした際に発生し得る、cert-manager controllerの停止につながる問題を修正しています。攻撃者がDNS応答を変更した場合やDNSサーバーを管理していた場合に、サービス拒否を引き起こす可能性があった問題です。
影響確認 (1)
securitymediumDNS応答のキャッシュ順序によるcert-manager controllerのパニック修正
適用対象はリリースノートに明記されていません。
オペレーターイメージの置き換えが必要なホットフィックスと、DNS クエリに関するセキュリティ上の不具合修正を含みます。通常の正確性修正に加え、新機能も含まれます。
影響確認 (2)
securityinstance-manager による DNS サーバーへの過剰な TXT クエリの修正
ハードディスクまたはソリッドステートディスクを使用していない場合に適用されます。
breakingbacking-image-manager:v1. のホットフィックス版への置き換え
backing-image-manager:v1. を使用している場合に適用されます。
非推奨の deprecated preheat API endpoints が削除され、Dragonfly manager job API の未認証アクセスが修正されています。該当するAPIを利用している環境では、アップグレードが対応対象です。
影響確認 (2)
securityDragonfly manager job API の未認証アクセス修正
Dragonfly manager job API を利用している場合に適用されます。
breakingdeprecated preheat API endpoints の削除
deprecated preheat API endpoints を利用している場合に適用されます。
機能追加と保守改善を含み、運用機能の拡充、Quarkusの更新、動作上の問題の修正が行われています。既存環境では、非推奨化やサポート対象の変更、設定に関わる脆弱性の影響を確認したうえで、早めの更新が適しています。
影響確認 (2)
securityブルートフォース検知設定の脆弱性修正
ブルートフォース検知設定を構成している場合に該当します。
breakingPostgreSQL 13. のサポート削除
PostgreSQL 13. に依存している場合に該当します。
事前準備 (1)
deprecatedadmin/fine-grained-permissions の非推奨化
admin/fine-grained-permissions を有効にしている場合に該当します。
