リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度

性格

カテゴリ

プロジェクト: cert-manager解除 ×

cert-managerv1.21.0Security2026年7月8日

運用者が確認すべきRBAC、Helm値、API、フィーチャーゲートの変更を含むリリースです。新しい機能の追加と不具合修正も行われているため、関連する設定や権限を利用している環境では影響確認が必要です。

影響確認 (5)

securitycert-manager-editのACMEリソース権限を削除
cert-manager-edit集約ClusterRoleを利用している場合に該当します。
cert-manager-edit集約ClusterRoleから、ACME Challengeのcreate権限と、Orderのcreate、patch、update権限を削除しました。内部リソースを直接操作できないようにする変更で、GHSA-8rvj-mm4h-c258に対応しています。
breakingAPIからObjectReferenceを削除
APIでObjectReferenceを利用している場合に該当します。
APIの整理に伴い、非推奨だったObjectReferenceを削除しました。
breakingPrometheus関連のHelm値を削除
prometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathのいずれかを設定している場合に該当します。
Helm値のprometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathを削除しました。
リリースページにあと 2 件

事前準備 (2)

deprecatedGateway API設定フィールドをgatewayAPIへ移行
enableGatewayAPI、enableGatewayAPIListenerSet、gatewayAPI.enabled、gatewayAPI.enableListenerSetのいずれかを設定している場合に該当します。
ControllerConfigurationのenableGatewayAPIとenableGatewayAPIListenerSetを非推奨とし、gatewayAPI.enabledとgatewayAPI.enableListenerSetとしてgatewayAPIサブ構造体へ移しました。
deprecatedcainjectorのSSA利用とServerSideApplyの非推奨化
cainjectorは常にSSAを使用するようになり、ServerSideApplyフィーチャーゲートを非推奨としました。

cert-managerv1.19.6Security2026年6月25日

v1.19.6では、権限設定とGoの更新内容が見直されています。cert-manager-editを使って特定のリソースを操作する構成や、Goの脆弱性対応を確認する利用者に関係します。

要対応 (2)

securityhighGoのv1.25.11への更新
Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。
securityGoの1.25.10へのアップグレード
報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

影響確認 (1)

securitycert-manager-edit集約ClusterRoleのACME権限削除
cert-manager-edit集約ClusterRoleを使い、ChallengeまたはOrderリソースを作成・変更するワークフローに適用されます。
cert-manager-edit集約ClusterRoleから、Challengeのcreate権限とOrderのcreate、patch、update権限が削除されました。

cert-managerv1.20.3Security2026年6月25日

ACME の権限設定と Challenge のガベージコレクションに関する修正を含むリリースです。Go の依存関係も更新され、確認された CVE への修正が取り込まれています。

要対応 (1)

securityhighGo を v1.26.4 に更新
Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。

影響確認 (1)

securityACME リソース作成権限の修正
適用対象はリリースノートに明記されていません。
デフォルトの cert-manager-edit 集約 ClusterRole が、namespace のユーザーに ACME の Challenge と Order リソースを直接作成する権限を与えていた問題を修正しました。関連するアドバイザリは GHSA-8rvj-mm4h-c258 です。

cert-managerv1.20.0Security2026年3月10日

Helm、API、solver、feature gate に関する機能が追加され、既定値や受け付ける動作も変更されています。複数の不具合が修正され、cert-manager と Go に関するセキュリティ修正も含まれています。

要対応 (2)

securityhighGo を v1.25.5 に更新
Go を v1.25.5 に更新し、CVE-2025-61727 と CVE-2025-61729 に対応しました。
breakingIssuer 参照の kind と group の既定値を変更
Issuer の参照に使う kind と group の既定値が、v0.19.0 で導入された値から以前の設定に戻りました。

影響確認 (4)

securityDNS キャッシュ処理による cert-manager controller のパニックを修正
適用対象はリリースノートに明記されていません。
DNS 応答が想定外の順序でキャッシュされた場合に cert-manager controller がパニックする問題を修正しました。攻撃者が DNS 応答を変更できる場合や DNS サーバーを管理している場合に、controller のサービス停止を引き起こされる可能性がありました。
breakingOtherNames を Beta に昇格し既定で有効化
OtherNames 機能を使用している場合に適用されます。
OtherNames 機能が Beta に昇格し、既定で有効になりました。
breakingコンテナの既定 UID と GID を変更
既定のコンテナユーザー（UID）または既定のコンテナグループ（GID）を設定していない場合に適用されます。
既定のコンテナユーザー（UID）が 1000 から 65532 に、既定のコンテナグループ（GID）が 0 から 65532 に変更されました。
リリースページにあと 1 件

cert-managerv1.19.3Security2026年2月2日

DNS応答を想定外の順序でキャッシュした際に発生し得る、cert-manager controllerの停止につながる問題を修正しています。攻撃者がDNS応答を変更した場合やDNSサーバーを管理していた場合に、サービス拒否を引き起こす可能性があった問題です。

影響確認 (1)

securitymediumDNS応答のキャッシュ順序によるcert-manager controllerのパニック修正
適用対象はリリースノートに明記されていません。
cert-manager controllerで、想定外の順序でDNS応答がキャッシュされた場合に発生するパニックを修正しました。攻撃者がDNS応答を変更した場合やDNSサーバーを管理していた場合に、コントローラーをサービス拒否状態にできる可能性がありました。関連するアドバイザリはGHSA-gx3x-vq4p-mhhvです。

月別に見る