リリース

要対応 (1)

• securityhighCVE-2026-41246のLuaコードインジェクション修正

  CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。

影響確認 (1)

• securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正

  cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  セキュリティ対応として、依存モジュール github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

要対応 (2)

• security正規表現の $ 文字のエスケープ

  正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ関連の依存更新として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

影響確認 (3)

• securityキューサブスクリプションによる ACL deny 回避を修正

  キューサブスクリプションを使用し、非キュー ACL の deny パターンを設定している場合に適用されます。

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に適用されます。

• breakingsolicited leaf 接続以外での重複した INFO 権限更新を制限

  solicited leaf 接続を使用している場合に適用されます。

影響確認 (2)

• breakingno_auth_user の適用範囲をクライアント接続に限定

  no_auth_user を設定している場合に該当します。

• breakingsolicited leaf接続でのみ受け付ける重複 INFO 権限更新

  solicited leaf接続を利用している場合に該当します。

要対応 (1)

• breakingWASMバイナリの展開後サイズ制限

  HTTP経由で取得するWASMバイナリについて、gzip展開後のサイズ制限が適用されるようになりました。

要対応 (1)

• security依存関係とPythonインタープリターを更新

  CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。

影響確認 (1)

• breakingEventEngine の既定有効化と fork 対応

  PythonまたはRubyを使用している場合に適用されます。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。#7960に対応しています。

要対応 (1)

• breakingJWTのサイズ上限を1MBに変更

  JWTのサイズ上限を1MBに設定しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3へ更新

  google.golang.org/grpcをv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。

• securityEnvoyをv1.35.9へ更新

  セキュリティ脆弱性への対応として、Envoyをv1.35.9へ更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcをv1.79.3に更新

  google.golang.org/grpcをv1.79.3に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。

• securityEnvoyをv1.34.13に更新

  Envoyをv1.34.13に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。

要対応 (2)

• securitycriticalgoogle.golang.org/grpcのv1.79.3への更新

  google.golang.org/grpcをv1.79.3へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。

• securityEnvoyのv1.34.13への更新

  Envoyをv1.34.13へ更新します。

影響確認 (2)

• securityenvoy 管理ソケットのアクセス範囲を修正

  envoy を実行している場合に適用されます。

• securitylocal backends に対する ingress policies の適用を修正

  ingress policies と local backends を使用している場合に適用されます。

影響確認 (1)

• securityenvoy 管理ソケットのアクセス権を修正

  Envoyが動作している場合に適用されます。

要対応 (8)

• securityhighGRPC Netty ShadedのCVE-2025-55163対応

  GRPC Netty Shaded を更新し、CVE-2025-55163 に対応しました。

• securitymediumZookeeperのCVE-2024-47554対応

  Zookeeper を更新し、CVE-2024-47554 に対応しました。

• securitymediumNimbus Jose JWT 10.0.2への更新

  Nimbus Jose JWT を 10.0.2 に更新し、CVE-2025-53864 に対応しました。

• securitymediumNetty 4.1.130.Finalへの更新

  Netty を 4.1.130.Final に更新し、CVE-2025-67735 に対応しました。

• securitymediumApache Log4J 2.25.3への更新

  Apache Log4J を 2.25.3 に更新し、CVE-2025-68161 に対応しました。

• securitymediumVertx 4.5.24への更新

  Vertx を 4.5.24 に更新し、CVE-2026-1002 に対応しました。

• securitymediumJacksonのGHSA-72hv-8253-57qq対応

  Jackson を更新し、GHSA-72hv-8253-57qq に対応しました。

• securityVert.xとNettyのCVE対応

  0.45.xブランチで、Vert.x と Netty が更新され、CVEへの対応が行われました。

影響確認 (1)

• breakingLinkerd Vizのデフォルトスクレイピング対象をRunningまたはPendingのPodに限定

  Linkerd Vizを使用している場合に適用されます。

要対応 (3)

• securitymediumスコープ付き IPv6 アドレスのクラッシュ修正

  スコープ付き IPv6 アドレスで getAddressWithPort() が呼び出された際のクラッシュを修正しました。対象の識別子は CVE-2026-26310 と GHSA-3cw6-2j68-868p です。

• securitymediumJSON の文字列終端処理の修正

  境界を 1 つ超えて書き込む処理を修正し、文字列の null 終端文字が破損する問題に対応しました。対象の識別子は CVE-2026-26309 と GHSA-56cj-wgg3-x943 です。

• securitymedium下流側リセット後の decode* メソッド実行制御

  下流側でリセットされた後に decode* メソッドが実行されないよう修正しました。対象の識別子は CVE-2026-26311 と GHSA-84xm-r438-86px です。

要対応 (3)

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスを渡して getAddressWithPort() を呼び出した際のクラッシュを修正しました。

• securitymediumjson のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、文字列のnull終端を破損させる可能性があったオフバイワン書き込みを json で修正しました。

• securitymedium下流リセット後の decode* メソッド実行防止

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流リセット後に decode* メソッドが実行されないよう修正しました。

要対応 (4)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308（GHSA-ghc4-35x6-crw5）に対応し、RBACで複数値ヘッダーを使ったバイパスを修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310（GHSA-3cw6-2j68-868p）に対応し、スコープ付きIPv6アドレスでgetAddressWithPort()を呼び出した際にクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309（GHSA-56cj-wgg3-x943）に対応し、JSON処理で文字列のnull終端子を破損させる可能性があったオフバイワン書き込みを修正しました。

• securitymedium下流リセット後のdecode*メソッド実行制御

  CVE-2026-26311（GHSA-84xm-r438-86px）に対応し、下流接続のリセット後にdecode*メソッドが実行されないよう修正しました。

要対応 (4)

• securityhighrbac の複数値ヘッダーバイパスを修正

  rbac における複数値ヘッダーのバイパスを修正しました。対象は CVE-2026-26308（GHSA-ghc4-35x6-crw5）です。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュを修正

  スコープ付きIPv6アドレスで呼び出した際に発生する getAddressWithPort() のクラッシュを network で修正しました。対象は CVE-2026-26310（GHSA-3cw6-2j68-868p）です。

• securitymediumjson のオフバイワン書き込みを修正

  json で、文字列のnull終端子を破壊する可能性があるオフバイワン書き込みを修正しました。対象は CVE-2026-26309（GHSA-56cj-wgg3-x943）です。

• securitymedium下流側リセット後の decode* メソッドをブロック

  下流側のリセット後に decode* メソッドが実行されないよう、http の処理を修正しました。対象は CVE-2026-26311（GHSA-84xm-r438-86px）です。

要対応 (1)

• securitymediumCVE-2026-26309のJSONオフバイワン書き込み修正

  JSON処理で発生するオフバイワン書き込みを修正しました。

要対応 (7)

• securityhighRBACの複数値ヘッダーバイパス修正

  CVE-2026-26308 に対応し、RBAC における複数値ヘッダーのバイパスを修正しました。

• securityhighJWKSリゾルバー障害による認証バイパス修正

  CVE-2026-31837 および GHSA-v75c-crr9-733c に対応し、既知のデフォルトキーを使った認証バイパスにつながる JWKS リゾルバーの障害を修正しました。

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流側のリセット後にHTTPデコードメソッドがブロックされる問題を修正しました。

• securitymediumスコープ付きIPv6アドレス処理のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定した getAddressWithPort() でクラッシュする問題を修正しました。

• securitymediumJSON処理のオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSON処理で発生するオフバイワン書き込みを修正しました。

• securitymediumレート制限レスポンスフェーズのクラッシュ修正

  CVE-2026-26330 に対応し、レート制限レスポンスフェーズでクラッシュする問題を修正しました。

• securitymediumデバッグエンドポイントの名前空間越しプロキシデータアクセス修正

  CVE-2026-31838 および GHSA-974c-2wxh-g4ww に対応し、デバッグエンドポイントから別の名前空間にあるプロキシデータへアクセスできる問題を修正しました。

要対応 (3)

• securitymedium下流リセット後のHTTPデコードメソッド処理修正

  CVE-2026-26311 に対応し、下流からのリセット後にHTTPデコードメソッドがブロックされるよう修正しました。

• securitymediumスコープ付きIPv6アドレス使用時のクラッシュ修正

  CVE-2026-26310 に対応し、スコープ付きIPv6アドレスを指定したgetAddressWithPort()のクラッシュを修正しました。

• securitymediumJSONのオフバイワン書き込み修正

  CVE-2026-26309 に対応し、JSONのオフバイワン書き込みを修正しました。

影響確認 (3)

• securityCVE-2026-29785の修正

  leafnode compressionを有効にしている場合に適用されます。

• securityCVE-2026-27889の修正

  WebSocketsを有効にしている場合に適用されます。

• breakingmax_connsの0設定

  サーバー設定でmax_connsを指定している場合に適用されます。

影響確認 (2)

• securityhighCVE-2026-29785 の修正

  CVE-2026-29785 が存在し、leafnode compression が有効な場合に適用されます。

• securityhighCVE-2026-27889 の修正

  CVE-2026-27889 が存在し、WebSockets が有効な場合に適用されます。