CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ修正と、CVE対応を含む依存関係の更新を含むリリースです。依存関係のバージョン変更があり、テスト対象は Kubernetes 1.32 から 1.34 に更新されています。
要対応 (1)
securityCVE修正のための依存関係更新
CVEを修正するため、依存関係を更新しました。
影響確認 (1)
security仮想ホストの authPolicy 無効時の外部認可バイパス修正
authPolicy が設定されていない場合に適用されます。
仮想ホストで authPolicy が無効な場合に発生する外部認可バイパスを修正しました。対象のセキュリティアドバイザリは GHSA-cf57-xf33-fg5h です。
HTTPProxy の不正な設定に関するセキュリティ修正が含まれます。依存関係とツールチェーンが更新され、Kubernetes 1.32 から 1.34 でテストされています。
要対応 (1)
securitycriticalgolang. を v0.55.0 に更新
golang. を v0.55.0 に更新しました。対象の脆弱性識別子は CVE-2026-39821 です。
影響確認 (1)
securitymediumHTTPProxy の不正なフォールバック証明書設定を拒否
HTTPProxy で fallback certificate を設定し、JWT verification を有効にしている場合に適用されます。
HTTPProxy で fallback certificate と JWT verification を設定した際、TLS SNI がないリクエストや認識されない SNI のリクエストが JWT 検証を回避できる不具合を修正しました。Contour はこの不正な設定を拒否します。関連するアドバイザリは GHSA-g3xr-5w5j-w4q4 です。
Luaコードインジェクションによる任意コード実行の脆弱性を修正しています。Envoy 1.35.0以降が必要となり、依存先はv1.35.10へ更新されています。Kubernetes 1.32から1.34でテストされています。
影響確認 (2)
securityhighHTTPProxy の cookieRewritePolicies[]. によるコード実行脆弱性の修正
HTTPProxy リソースを使用している場合に該当します。
RBAC権限を持つ攻撃者が、HTTPProxy リソースの作成または変更時に悪意のある cookieRewritePolicies[]. を指定すると、Envoyプロキシ上で任意のコードを実行できる問題を修正しました。対象は CVE-2026-41246 および GHSA-x4mj-7f9g-29h4 です。
breakingEnvoy 1.35.0以降への対応
Envoy に依存している場合に適用されます。
このリリースでは、Envoy 1.35.0以降が必要です。
Luaコードインジェクション脆弱性の修正を含むリリースです。Envoyはv1.34.14に更新され、Kubernetes 1.30から1.32まででテストされています。
影響確認 (1)
securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正
cookieRewritePolicies[]. を設定している場合に適用されます。
ContourのCookie Rewriting機能にあったLuaコードインジェクション脆弱性 CVE-2026-41246（GHSA-x4mj-7f9g-29h4）を修正しました。
