CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
依存関係とツールチェーンの更新に加え、JetStreamの性能と設定が改善されています。多数の正確性修正が含まれ、認証や権限に関する修正も記載されています。
影響確認 (4)
security空白だけの権限によるサーバークラッシュの修正
JWT 検証を利用している場合に適用されます。
空白文字だけの権限を使う場合でも、JWT 検証によってサーバーがクラッシュしなくなりました。
securityTLS verify_and_map の認証回避の修正
TLS verify_and_map を設定している場合に適用されます。
TLS verify_and_map が空のパスワードを持つユーザーを認証してしまう問題を修正しました。
securityMQTT クライアントの購読権限回避の修正
MQTT を利用している場合に適用されます。
MQTT クライアントが $MQTT. subject を購読できなくなり、権限確認を回避できる問題を修正しました。
Goツールチェーンと依存関係マニフェストが更新され、JetStreamの性能や設定に関する変更と、複数の正確性修正が含まれています。認証に関する2件の修正は、該当する設定を利用している場合にアップグレードが必要です。
要対応 (1)
breakingディスク同時実行用セマフォを4096スロットに変更
ディスク同時実行用セマフォのスロット数を、従来のCPUスケール方式から4096に増やしました。
影響確認 (2)
securityno_auth_user と auth callouts の認証チェックを修正
no_auth_user を設定し、auth callouts を使用している場合に適用されます。
no_auth_user と auth callouts を併用し、CONNECT メッセージが送られない場合でも認証チェックを省略しないよう修正しました。
securityTLS verify_and_map の認証バイパスを修正
TLS を使用し、verify_and_map を設定している場合に適用されます。
TLS の verify_and_map で空のパスワードを持つユーザーを認証してしまう認証バイパスを修正しました。
依存関係やツールチェーンのバージョン変更に加え、監視機能の変更、動作改善、不具合修正が含まれています。MQTTと認可に関わる修正はセキュリティ上の問題に対応していますが、アドバイザリ識別子は記載されていません。
影響確認 (3)
securityLeaf接続でのNats-Trace-Dest権限チェック回避を修正
Leaf接続を利用している場合に該当します。
Leaf接続がNats-Trace-Destのパブリッシュ権限チェックを回避しなくなりました。
security保持メッセージとQoS再送時のサブスクライブ拒否ルールを適用
MQTTを利用している場合に該当します。
保持メッセージの配信経路とQoS再送経路で、サブスクライブ拒否ルールが適用されるようになりました。
breaking監視エンドポイントのJSONPコールバック対応を削除
JSONPコールバック対応を利用している場合に該当します。
監視エンドポイントからJSONPコールバック対応が削除されました。
Goツールチェーンが更新され、NATSサーバーの複数の不具合が修正されています。認証情報の漏えいと秘匿情報のマスキングに関するセキュリティ修正も含まれます。依存関係マニフェストの項目は変更記録とは別に扱われています。
影響確認 (2)
security/connz監視エンドポイントでのbearer JWT非開示
/connz監視エンドポイントを使用している場合に適用されます。
/connz監視エンドポイントでは、bearer JWTが開示されなくなりました。
securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング
routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。
コマンドライン引数で渡したrouteとcluster URLのシークレットが、監視情報でマスキングされるようになりました。
依存関係やツールチェーンのバージョン更新、設定上の制約変更、性能改善、正確性の修正を含むリリースです。ACL のバイパスを修正するセキュリティ関連の変更も含まれます。
影響確認 (3)
securityキューサブスクリプションによる ACL deny 回避を修正
キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。
キューサブスクリプションが、非キュー ACL の deny パターンを誤って回避することはなくなりました。
breakingno_auth_user の適用範囲をクライアント接続に限定
no_auth_user を設定している場合に適用されます。
no_auth_user はクライアント接続でのみ使用できるようになりました。
breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限
solicited leaf 接続を使用している場合に適用されます。
重複した INFO 権限更新は、solicited leaf 接続でのみ受け付けるようになりました。
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。#7960に対応しています。
影響確認 (13)
securityhighMQTTに関する脆弱性の修正
MQTTを利用している場合に適用されます。
securityhighleafnodesに関する脆弱性の修正
leafnodesを利用している場合に適用されます。
CVE-2026-33218を修正しました。
securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
CVE-2026-33247を修正しました。
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhighMQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正
MQTTを利用している場合に適用されます。
CVE-2026-33216、CVE-2026-33217、CVE-2026-33215を修正しました。
securityhighleafnodesに関するCVE-2026-33218の修正
leafnodesを利用している場合に適用されます。
CVE-2026-33218を修正しました。
securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
CVE-2026-33247を修正しました。
セキュリティ修正、正確性の修正、JetStream設定機能の拡張、依存関係の更新を含みます。クラスタ構成ではストリーム更新に関する回帰が報告されており、max_connsの挙動も変わっています。
影響確認 (3)
securityCVE-2026-29785の修正
leafnode compressionを有効にしている場合に適用されます。
leafnode compressionを有効にしたシステムに影響するCVE-2026-29785を修正しました。
securityCVE-2026-27889の修正
WebSocketsを有効にしている場合に適用されます。
WebSocketsを有効にしたシステムに影響するCVE-2026-27889を修正しました。
breakingmax_connsの0設定
サーバー設定でmax_connsを指定している場合に適用されます。
サーバー設定のmax_connsに0を指定できるようになり、受信するクライアント接続をすべて拒否できます。
セキュリティ修正、Goツールチェーンのバージョン変更、WebSocketsの動作修正を含みます。該当する機能を利用する環境では、更新が必要です。
影響確認 (2)
securityhighCVE-2026-29785 の修正
CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。
CVE-2026-29785 を修正しました。leafnode compression が有効なシステムに影響します。
securityhighCVE-2026-27889 の修正
CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。
CVE-2026-27889 を修正しました。WebSockets が有効なシステムに影響します。
