CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係やツールチェーンのバージョン変更に加え、監視機能の変更、動作改善、不具合修正が含まれています。MQTTと認可に関わる修正はセキュリティ上の問題に対応していますが、アドバイザリ識別子は記載されていません。
影響確認 (3)
securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正
Leaf接続を利用している場合に該当します。
security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用
MQTTを利用している場合に該当します。
breaking監視エンドポイントのJSONPコールバック対応を削除
JSONPコールバック対応を利用している場合に該当します。
Envoy に関するセキュリティ修正を含むリリースです。修正の一部は特定のフィルター、シンク、またはランタイム設定を使用する環境に適用され、アップグレードで対応できます。
要対応 (7)
securityhighZstd decompressor の展開比率制限を修正
Zstd decompressor で MaxInflateRatio の上限を入力スライス全体の処理後にしか確認していなかった問題を修正しました。上限を内部の展開ループ内で適用し、しきい値を超えた時点で展開を中止します。
securitymediumPROXY プロトコルヘッダーの TLV 長計算を修正
PROXY プロトコルヘッダーでパススルー TLV と追加 TLV を組み合わせた際、最大長を超えてヘッダーに示すサイズと実際の書き込みバイト数が一致しなくなる問題を修正しました。
securitymediumHTTP 303 内部リダイレクトのセグメンテーションフォールトを修正
HTTP 303 の内部リダイレクトをボディーのないリクエストで処理する際、確保されていないリクエストボディーバッファーを排出しようとしてセグメンテーションフォールトが発生する問題を修正しました。
securitymedium破棄後の非同期トークン変更コールバックを修正
フィルターの破棄後、onDestroy() の呼び出し後に非同期トークン変更コールバックが実行され、解放済みポインターにアクセスして UAF やクラッシュが発生する問題を修正しました。
securitymediumピア証明書の SAN 検証における NUL バイト処理を修正
SAN に埋め込まれた NUL バイトがあるピア証明書で、Subject Alternative Name（SAN）を正しく検証できない問題を修正しました。構成によって SAN の解析が NUL バイトで途中切り詰めされ、誤った信頼判断につながる可能性がありました。
securitymediumクエリー名の長さの妥当性確認を修正
クエリー名の長さに対する妥当性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合は ENVOY_BUG を使用します。
securityHTTP/3 の QPACK 処理におけるメモリ枯渇の修正
HTTP/3 スタックの QPACK ブロック解除処理を修正しました。動的テーブルの更新待ちでブロックされたヘッダーブロックについて、内部デコーダーバッファーに保持されたデータが QUIC の受信フロー制御の計上から外れ、メモリが無制限に増加する問題に対応しています。
影響確認 (7)
securityhighHTTP/3 のヘッダーのみの content-length 検証を修正
envoy. を有効にしている場合に適用されます。
securityhighJSON パーサーのネスト深度制限を追加
envoy. を false に設定している場合に適用されます。
securitymediumext_proc server の予期しない ProcessingResponses を修正
ext_proc server を使用している場合に適用されます。
通常の不具合修正に加え、Envoyに関するセキュリティ修正が含まれています。セキュリティ修正を含むためアップグレードが必要です。非推奨化や、オペレーターに設定変更を強制する告知はありません。
要対応 (4)
securitymediumHTTP 303内部リダイレクトの処理修正
ボディーのないリクエストでHTTP 303の内部リダイレクトを処理する際、確保されていないリクエストボディーバッファを解放しようとしてセグメンテーションフォールトが発生する問題を修正しました。
securitymedium非同期トークン変更コールバックの破棄後実行を修正
フィルターの破棄処理であるonDestroy()の呼び出し後に、非同期トークン変更コールバックが実行される問題を修正しました。解放済みポインターへのアクセスによるuse-after-freeやクラッシュにつながる状態でした。
securitymedium証明書SANのNULバイト処理を修正
ピア証明書のSubject Alternative Name（SAN）に埋め込みNULバイトが含まれる場合に、SANを正しく検証できない問題を修正しました。一部の設定でNULバイト以降が切り詰められ、誤った信頼判断につながる可能性がありました。
securitymediumクエリ名の長さの整合性確認を修正
クエリ名の長さに対する整合性確認を修正し、異常なプロセス終了を防ぐようにしました。確認に失敗した場合はENVOY_BUGを使用します。
影響確認 (11)
securityhigh%REQUESTED_SERVER_NAME%フォーマッターのクラッシュ修正
%REQUESTED_SERVER_NAME%フォーマッターを設定している場合に該当します。
securityhighZstdデコンプレッサーの膨張率制限の修正
Zstdデコンプレッサーを使用している場合に該当します。
securityhighHTTP/3のヘッダー専用Content-Length検証を修正
HTTP/3を使用し、envoy.を有効にしている場合に該当します。
ログ出力の既定値が変更され、運用者向けの修正や追加が含まれています。pilot-agent のメトリクス取得における許可コンテンツタイプの制約が絞り込まれ、Envoy に関するセキュリティ修正も含まれます。
要対応 (12)
securityhighCVE-2026-47220 のクラッシュを修正
CVE-2026-47220 に関するクラッシュの不具合が修正されました。
securityhighCVE-2026-48044 のメモリ枯渇脆弱性を修正
CVE-2026-48044 に関するメモリ枯渇脆弱性が修正されました。
securityhighCVE-2026-48042 の JSON 入れ子深度を制限
CVE-2026-48042 に関して、JSON の入れ子の深さを 1000 に制限しました。
securitymediumCVE-2026-47692 の不具合を修正
CVE-2026-47692 に関する不具合が修正されました。
securitymediumCVE-2026-47205 の use-after-free クラッシュを修正
CVE-2026-47205 に関する use-after-free によるクラッシュが修正されました。
securitymediumCVE-2026-48090 の非同期コールバック処理を修正
CVE-2026-48090 に関して、フィルターの破棄後に非同期トークン変更コールバックが呼び出される不具合が修正されました。
securitymediumCVE-2026-47778 の SAN 検証を修正
CVE-2026-47778 に関して、Envoy が Subject Alternative Name（SAN）を検証できない問題が修正されました。
securitymediumCVE-2026-47204 のクラッシュと use-after-free を修正
CVE-2026-47204 に関するクラッシュまたは use-after-free が修正されました。
securitymediumCVE-2026-48497 のクエリ名長検査を修正
CVE-2026-48497 に関して、クエリ名の長さを検査する処理が修正されました。
securitymediumCVE-2026-47775 のパディングオラクルに対処
CVE-2026-47775 に関するパディングオラクルの問題に対処しました。
securityGHSA-p7c7-7c47-pwch のサービス拒否脆弱性を修正
GHSA-p7c7-7c47-pwch に関するサービス拒否脆弱性が修正されました。
breakingメッセージのログレベルを warn に変更
メッセージのログ出力レベルが warn になりました。
影響確認 (5)
securityhighCVE-2026-48743 の HTTP/3 content-length 検証を修正
HTTP/3 を使用している場合に適用されます。
securitymediumCVE-2026-47207 の予期しない ProcessingResponses を修正
ext_proc 拡張機能を使用している場合に適用されます。
securitymediumCVE-2026-47221 の HTTP 303 内部リダイレクト処理を修正
適用対象はリリースノートに明記されていません。
複数のセキュリティ修正と、セキュリティ関連の依存関係更新を含むリリースです。拡張機能の強制的な削除と、TLS証明書圧縮の既定値変更も行われています。
要対応 (16)
securityhighWasm依存関係の更新
Wasmで使用する com_github_wasmtime を更新し、CVE-2026-47261 に対応しました。
securityhighREQUESTED_SERVER_NAME のクラッシュ修正
REQUESTED_SERVER_NAME の処理でクラッシュする問題を修正しました。CVE-2026-47220 と GHSA-j9wh-4qfm-wf2v に対応しています。
securityhighzstd RLE zip bombの修正
zstdのRLE zip bombに関する問題を修正しました。CVE-2026-48044 と GHSA-m3p9-47wh-88wg に対応しています。
securityhigh入れ子の深いJSONによるスタックオーバーフロー修正
深く入れ子になったJSONのデストラクタでスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 と GHSA-f24p-rxw2-g6pv に対応しています。
securityhighHTTP/3からHTTP/1へのリクエストスマグリング修正
Content-Length がゼロ以外のヘッダーのみのリクエストによって、HTTP/3からHTTP/1へのリクエストスマグリングが発生する問題を修正しました。CVE-2026-48743 と GHSA-8phg-2h2q-jgxf に対応しています。
securitymediumルート単位の認可処理のクラッシュ修正
ルート単位の認可処理でクラッシュする問題を修正しました。CVE-2026-47205 と GHSA-mvh9-767w-x47j に対応しています。
securitymediumext_proc レスポンス処理の修正
ext_proc のレスポンスを1つのgRPCメッセージで処理する際の問題を修正しました。CVE-2026-47207 と GHSA-68cv-hq5f-g6xv に対応しています。
securitymediumルーター内部リダイレクトのクラッシュ修正
ルーターの内部リダイレクトでクラッシュする問題を修正しました。CVE-2026-47221 と GHSA-rcff-gw58-pjpr に対応しています。
securitymediumOAuth2コード検証値の修正
OAuth2コード検証値のパディングオラクルに関する問題を修正しました。CVE-2026-47775 と GHSA-396h-jpq4-vc7p に対応しています。
securitymediumgrpc_stats フィルターのセグメンテーション違反修正
Connectプロトコルのリクエストが direct_response ルートに送られた際、grpc_stats フィルターでセグメンテーション違反が発生する問題を修正しました。CVE-2026-47204 と GHSA-3jxh-8p6x-7pf6 に対応しています。
securitymediumPROXY Protocol v2 ヘッダー生成の修正
PROXY Protocol v2 ヘッダー生成器が「skipped」TLVを出力し、攻撃者が制御する最大65 KBのデータが上流アプリケーションのストリームに流れ込む問題を修正しました。CVE-2026-47692 と GHSA-wh36-hm39-mm3r に対応しています。
securitymediumTLS SAN切り詰め処理の認証回避修正
TLS SANの切り詰め処理で埋め込みNULが認証を回避できる問題を修正しました。CVE-2026-47778 と GHSA-f8x4-rw5x-f3r7 に対応しています。
securitymediumOAuth2非同期トークン処理の修正
OAuth2フィルターで、ストリーム破棄後に非同期トークン処理が完了すると解放済みメモリの使用やクラッシュにつながる問題を修正しました。CVE-2026-48090 と GHSA-3cj2-c63f-q26f に対応しています。
securitymediumDNS UDPフィルターの異常終了修正
DNS UDPフィルターでプロセスが異常終了する問題を修正しました。CVE-2026-48497 と GHSA-j6g2-wf95-q66q に対応しています。
securitymediumTcpStatsdSink のヒープバッファオーバーフロー修正
TcpStatsdSink でヒープバッファオーバーフローが発生する問題を修正しました。CVE-2026-48706 と GHSA-7q3f-gwg7-j8g4 に対応しています。
securityHTTP/3のQPACK処理に関するサービス拒否の修正
QPACK のデコードがブロックされた際にHTTP/3スタックでサービス拒否が発生する問題を修正しました。GHSA-p7c7-7c47-pwch に対応しています。
影響確認 (2)
breakingenvoy. の削除
envoy. を使用している場合に適用されます。
breakingTLS証明書圧縮の既定値変更
envoy. を設定していない場合に適用されます。
複数のセキュリティ修正に加え、セキュリティ対応の依存関係更新が含まれています。ソースアーカイブの破損により、envoy.はすべてのビルドとプラットフォームで無効化されました。
要対応 (1)
securityhighcom_github_wasmtimeの更新
CVE-2026-47261への対応として、com_github_wasmtimeを更新しました。
影響確認 (16)
securityhighREQUESTED_SERVER_NAME設定時のクラッシュ修正
REQUESTED_SERVER_NAMEを設定している場合に該当します。
securityhighzstd RLE zip bombの修正
zstdに依存している場合に該当します。
securityhigh深くネストしたJSONのスタックオーバーフロー修正
JSONを使用している場合に該当します。
セキュリティ修正を中心に、複数のクラッシュ、メモリ処理、リクエスト処理などの問題に対応しています。wasm の依存関係更新と、envoy. 拡張機能の全ビルドからの削除も含まれます。
要対応 (1)
securityhigh深く入れ子になった JSON のスタックオーバーフロー修正
深く入れ子になった JSON のデストラクタで発生するスタックオーバーフローを修正しました。CVE-2026-48042 に対応しています。
影響確認 (15)
securityhighzstd の RLE zip bomb 対策
zstd を使用している場合に適用されます。
securityhighHTTP/3 から HTTP/1 へのリクエストスマグリング修正
HTTP/3 と HTTP/1 を使用している場合に適用されます。
securityhighcom_github_wasmtime の更新
wasm を使用している場合に適用されます。
セキュリティ上の問題を修正し、関連する依存関係も更新しています。envoy. 拡張機能は無効化されました。
要対応 (1)
securityhigh深くネストしたJSONのスタックオーバーフローを修正
深くネストしたJSONをデストラクターで処理した際にスタックオーバーフローが発生する問題を修正しました。CVE-2026-48042 および GHSA-f24p-rxw2-g6pv に対応しています。
影響確認 (14)
securityhighzstd RLE zip bombの問題を修正
zstd を使用している場合に該当します。
securityhighHTTP/3 のコンテンツ長検証を修正
HTTP/3 を使用している場合に該当します。
securityhighwasmのcom_github_wasmtimeを更新
wasm を使用している場合に該当します。
サポート対象のCRD APIが新しいv1のみに変更され、Entity Operatorのクロスネームスペース監視もデフォルト設定が変わっています。開示済みのセキュリティ脆弱性も修正されています。
要対応 (2)
securityhighCVE-2026-55225の修正
CVE-2026-55225を修正しました。
securitymediumCVE-2026-55226の修正
CVE-2026-55226を修正しました。
影響確認 (2)
breakingサポート対象のCRD APIをv1に限定
v1beta2、v1beta1、またはv1alpha1のCRD APIを使用している場合に適用されます。
breakingEntity Operatorのクロスネームスペース監視をデフォルトで無効化
STRIMZI_ENTITY_OPERATOR_WATCHED_NAMESPACE_ENABLEDまたはwatchedNamespaceを設定している場合に適用されます。
保守に重点を置いたリリースで、正確性に関する修正、依存関係の更新、オペレーターのトラブルシューティング機能の改善が含まれています。名前空間バイパスの問題に対するセキュリティ修正もあります。アップグレードは概ね容易ですが、削除された古いHelm設定を使用している構成は確認が必要です。
影響確認 (3)
securityipBlock ルールの名前空間バイパス修正
ipBlock を設定している場合に該当します。
breakingloadBalancer. オプションの削除
loadBalancer. を設定している場合に該当します。
breakingL2 Podアナウンスのインターフェース設定変更
l2podAnnouncements. を設定し、L2 Podアナウンスを有効にしている場合に該当します。
セキュリティ修正が1件含まれ、運用に関わる正確性の修正も複数入っています。nftablesバックエンドの自動フォールバックに加え、Istio ambient、ゲートウェイ、ルーティング、CNIの動作が修正されています。
要対応 (1)
securityhighEnvoyのメモリ枯渇を引き起こすサービス拒否の修正
CVE-2026-47774を修正しました。認証されていないリモート攻撃者が、細工したHTTP/2リクエストでEnvoyプロセスのメモリを過剰消費させ、サービス拒否を引き起こせる問題です。Cookieヘッダーのバイト数がリクエストヘッダーサイズの検証に完全には含まれず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。
公開されたEnvoyのサービス拒否脆弱性と、正確性に関する不具合を修正しています。運用者にはセキュリティ修正のためのアップグレードが該当し、その他の修正では設定変更は必要ありません。
要対応 (1)
securityhighEnvoyのメモリ枯渇によるサービス拒否脆弱性の修正
CVE-2026-47774では、認証なしのリモート攻撃者が細工したHTTP/2リクエストを送信すると、Envoyプロセスのメモリを枯渇させてサービス拒否を引き起こせる問題がありました。リクエストヘッダーサイズの検証でCookieヘッダーのバイト数が完全には計上されず、HPACKヘッダーブロックの制限もデコード後のヘッダー全体のサイズを制限していませんでした。
セキュリティ修正と複数の不具合修正に加え、運用者向けの機能追加や依存関係の更新が含まれます。機能ゲートによる保護が解除された変更も含まれるため、該当する API の利用状況を確認する必要があります。
要対応 (1)
securityhighEnvoy のメモリ枯渇によるサービス拒否を修正
CVE-2026-47774 に対応しました。認証不要のリモート攻撃者が、細工した HTTP/2 リクエストで Envoy プロセスのメモリを枯渇させ、サービス拒否を引き起こせる問題です。リクエストヘッダーサイズの検証で Cookie ヘッダーのバイト数が完全に考慮されていなかったほか、HPACK のヘッダーブロック制限がエンコード後のサイズだけに適用され、デコード後の合計サイズに上限がありませんでした。
影響確認 (1)
breakingListenerSet の機能ゲート保護を解除
ListenerSet APIを利用している場合に適用されます。
HTTP/2のセキュリティ修正、サードパーティ依存関係の脆弱性修正、OAuth2のタイミングサイドチャネル修正を含みます。レスポンスボディの内容とロードバランサー再構築の既定動作も変わるため、該当する構成では運用上の確認が必要です。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
HTTP/2で使用する nghttp2 に CVE-2026-27135 のパッチを適用しました。
影響確認 (4)
securityhighHTTP/2ヘッダー制限へのCookie計上
HTTP/2を使用しており、envoy.を有効にしていない場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
oauth2を使用している場合に適用されます。
breakingHTTPレスポンスボディからの上流失敗理由の除外
routerを使用しており、envoy.を有効にしていない場合に適用されます。
アップグレードが必要となるセキュリティ修正に加え、通常の正確性修正が含まれています。残る見出しのみの項目には、運用者向けの変更はありません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
nghttp2 の CVE-2026-27135 パッチが適用されました。
影響確認 (2)
securityhighHTTP/2ヘッダー制限とCookieのメモリ使用対策
HTTP/2を使用している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネルの修正
oauth2を使用している場合に適用されます。
このリリースには、HTTP通信と認証に関わるセキュリティ修正が含まれます。HTTP/2の上限設定やOAuth2フィルターなど、該当する機能を使う構成に関係します。
要対応 (1)
securityhighnghttp2へのCVE-2026-27135パッチ適用
nghttp2にCVE-2026-27135のパッチを適用しました。
影響確認 (2)
securityhighHTTP/2のヘッダー上限処理の変更
HTTP/2でヘッダーリストまたはリクエストヘッダーの上限を設定している場合に適用されます。
securityoauth2のHMAC検証におけるタイミングサイドチャネル修正
OAuth2フィルターを使用している場合に適用されます。
v1.35.11は、HTTP/2やOAuth2に関するセキュリティ修正と依存関係の更新を含むリリースです。該当機能を利用している場合は更新が必要で、その他の変更はこのリリースを採用する以外の運用作業を求めません。
要対応 (1)
securityhighnghttp2のCVE-2026-27135パッチ適用
http2でnghttp2のCVE-2026-27135パッチを適用しました。
影響確認 (2)
securityhighHTTP/2ヘッダー上限違反時のストリームリセット
HTTP/2のリクエストヘッダー上限を使用している場合に適用されます。
securityOAuth2 HMAC検証のタイミングサイドチャネル修正
OAuth2のHMAC検証を使用している場合に適用されます。
