CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Litmus 3.31.0は、GraphQLサブスクリプション処理やプローブ管理、インフラ詳細取得周辺の問題を修正するルーチンなバグフィックスリリースです。UI状態同期やエラーハンドリングの改善により、運用時の安定性が向上します。
Thanos v0.42.0は、gRPC authzのpathベース拒否ルールを回避できるCVSS 9.1の重大な認可バイパス脆弱性(CVE-2026-33186)を修正しつつ、ReceiveとStoreのフラグ削除やログフィールド改名といった複数の破壊的変更、TLS/暗号設定オプションの追加を含む混在型のリリースです。
gRPC/authzインターセプターのpathベース拒否ルールが、細工した`:path`ヘッダーによって回避できる脆弱性(CVSS 9.1)。`thanos-community/grpc-go`フォークの更新で修正済み。gRPC authz認可に依存している構成では優先的にv0.42.0へ更新してください。
TSDBはshipperによるアップロード完了までコンパクションを遅延させるようになり、データ損失なくアップロード中のコンパクションが可能になったため、このフラグは不要になりました。設定で使用している場合は削除してください。
デフォルトで`@thanos_compatibility_store_type=store`ラベルを広告しなくなり、v0.8.0より前のThanos Queryとの互換性が失われます。古いQueryと混在運用している場合は更新前に確認してください。
Query-Frontendのログ出力で`time_taken`フィールドが`time_taken_ms`に変わりました。JSON出力をパースしているログ収集基盤やダッシュボードのフィールド名を更新してください。
OpenTelemetry Collector v0.156.0はバグ修正中心のリリースで、オペレータに影響する変更として、memory_limiterプロセッサが連続的な強制GCから指数バックオフに切り替わり、上限を2つの新設定フィールドで制御できるようになりました。otlp_httpの永続エラー処理、レシーバ起動順序、env変数のnil解決、リトライ設定バリデーションの修正も含まれます。
memory_limiterプロセッサは、GCが非効率と判断された場合（ソフトリミット超過かつ回収率5%未満）に指数バックオフでGC呼び出しを抑制するようになりました。バックオフの上限はmax_gc_interval_when_soft_limitedとmax_gc_interval_when_hard_limitedで設定でき、デフォルトはいずれも30sです。GCの積極性を調整している場合は、これら新フィールドを確認してください。
Prometheus v3.13.0はLTSリリースで、HIGH深刻度の認証情報転送の脆弱性(CVE-2025-4673・CVE-2023-45289)とMEDIUM深刻度のXSS(CVE-2026-44990)への対応を筆頭に、ページネーショントークン、パス解決、PromQL期間関数名、ライセンスファイル配布の4つの破壊的変更、さらに多数の新機能とパフォーマンス改善を含みます。
リダイレクト先のホストが異なる場合、Authorizationヘッダー・Basic認証・Bearerトークン・OAuth2・カスタムヘッダーなどの認証情報が転送されなくなりました。スクレイプ・リモートread/write・アラート送信・サービスディスカバリのいずれも対象です。CVE-2025-4673とCVE-2023-45289として追跡されており、prometheus/commonのv0.68.xからv0.69.0への更新が起因です。クロスホストリダイレクトに依存するエンドポイントがあれば、認証情報がサイレントに落ちることを確認してください。
UIのsanitize-htmlライブラリにXSS脆弱性(CVE-2026-44990)が存在していたため、バージョンを更新して修正しました。設定変更は不要で、v3.13.0へのアップグレードで対処されます。
ルールグループのページネーショントークン生成がSHA-1からSHA-256に変わりました。旧バージョンで取得したトークンを保持・比較しているクライアントやツールは、アップグレード後に値が変わります。
--http.config.fileに渡すファイル内の相対パスが、親ディレクトリではなくそのconfigファイル自身のディレクトリを基準に解決されるようになりました。相対パスを使っている場合は、アップグレード後にパスが正しく解決されるか確認してください。
experimental-duration-exprフィーチャーフラグを有効にしている場合、PromQLの期間表現関数min()とmax()がmin_of()とmax_of()に改名されました。これらを使用しているクエリやルールを更新してください。
リリースtarballおよびコンテナイメージからnpm_licenses.tar.bz2が削除されました。サードパーティnpmライセンス情報はバイナリに埋め込まれ、/assets/third-party-licenses.txtで提供されます。このアーカイブを展開している自動化処理があれば修正が必要です。
