CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
Volcano v1.13.3では、Webhookサーバーが大きなHTTPリクエスト本文を受け取った際にメモリ不足で停止する脆弱性を修正しました。Webhookエンドポイントへネットワーク経由でアクセスできるPodがある環境に関係します。
影響確認 (1)
securitymediumCVE-2026-44247によるVolcano webhook serverのメモリ不足停止を修正
Podがネットワーク経由でVolcano webhook serverのエンドポイントにアクセスできる場合に該当します。
v1.20.7では、Goツールチェーンのバージョンが更新されています。Goのバージョンを運用環境で確認している場合に関係します。
要対応 (1)
securityGoツールチェーンを1.へ更新
Goが1.に更新されました。
このリリースでは、セキュリティ対応として Go と複数の依存モジュールを更新しています。依存関係の更新を取り込む環境に関係するリリースです。
要対応 (10)
securitygithub. の v1. への更新
github. を v1. に更新しました。
securityotlptracehttp の v1. への更新
go. を v1. に更新しました。
securitygithub. の v4. への更新
github. を v4. に更新しました。
securitygithub. の v3. への更新
github. を v3. に更新しました。
securitygithub. の v5. への更新
github. を v5. に更新しました。
securitygithub. の v29. への更新
github. を v29. に更新しました。
securityGo の 1. への更新
Go を 1. に更新しました。
securitygithub. の v0. への更新
github. を v0. に更新しました。
securitygithub. の v2. への更新
github. を v2. に更新しました。
securitygithub. の v5. への更新
github. を v5. に更新しました。
Crossplane v2.1.5は、依存関係とGoツールチェーンのセキュリティ対応を中心としたリリースです。複数のモジュールが新しいバージョンに更新されています。
要対応 (10)
securitygithub. の v1. への更新
セキュリティ対応として、github. を v1. に更新しました。
securitygoogle. の v1. への更新
セキュリティ対応として、google. を v1. に更新しました。
securitygo. の v1. への更新
セキュリティ対応として、go. を v1. に更新しました。
securitygithub. の v4. への更新
セキュリティ対応として、github. を v4. に更新しました。
securityGo 1. への更新
セキュリティ対応として、Go を 1. に更新しました。
securitygithub. の v5. への更新
セキュリティ対応として、github. を v5. に更新しました。
securitygithub. の v0. への更新
セキュリティ対応として、github. を v0. に更新しました。
securitygithub. の v2. への更新
セキュリティ対応として、github. を v2. に更新しました。
securitygithub. の v29. への更新
セキュリティ対応として、github. を v29. に更新しました。
securitygithub. の v5. への更新
セキュリティ対応として、github. を v5. に更新しました。
v2.0.8では、運用時に確認される不具合を修正し、Goと複数の依存モジュールを更新しました。セキュリティ更新の詳細な開示内容は示されず、対象コンポーネントのみが記載されています。
要対応 (9)
securitygithub.をv1.6.3へ更新
github.をv1.6.3へ更新しました。
securityotlptracehttpをv1.43.0へ更新
go.をv1.43.0へ更新しました。
securitygithub.をv4.1.4へ更新
github.をv4.1.4へ更新しました。
securityGo 1.25.9への更新
Goを1.25.9へ更新しました。
securitygithub.をv5.17.1へ更新
github.をv5.17.1へ更新しました。
securitygithub.をv0.5.1へ更新
github.をv0.5.1へ更新しました。
securitygithub.をv29.2.0+incompatibleへ更新
github.をv29.2.0+incompatibleへ更新しました。
securitygithub.をv2.0.6へ更新
github.をv2.0.6へ更新しました。
securitygithub.をv5.18.0へ更新
github.をv5.18.0へ更新しました。
このリリースでは、依存関係の更新によってセキュリティ修正が取り込まれています。該当する依存関係を利用している環境では、修正を得るためにアップグレードが必要です。
要対応 (5)
securitygithub. を v1.6.3 に更新
github. が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。
securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新
go. が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub. を v5.17.1 に更新
github. が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub. を v0.5.1 に更新
github. が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub. を v5.18.0 に更新
github. が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
このリリースは、アクセス制御と実行時の依存関係に関わるセキュリティ更新を含みます。サービス呼び出しの経路やGoの1.24系を利用する環境では、変更内容の確認が関係します。
要対応 (2)
securityACLチェックと送信処理で正規化形式を統一
正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。
securityGoの1.24系CVE対応に伴うバージョン更新
Goのバージョンが更新され、1.24系のCVEへの対応が行われています。
サービス呼び出しでパスの正規化が一致しないことに起因するACLチェックの迂回を修正しました。メソッドパスの受け入れ条件を狭め、ACLパス処理からpurell依存関係を削除しています。
要対応 (3)
securityサービス呼び出し時のメソッドパス正規化を統一
サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。
securityメソッドパスの受け入れ条件を変更
メソッドパスの正規化にpath.を使い、.や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。
securityACLパス処理からpurell依存関係を削除
ACLパス処理からpurell依存関係を削除しました。
セキュリティ対応と、PulsarおよびSchedulerの動作修正を含むリリースです。PulsarではAvroとJSONスキーマ処理、Schedulerではクラスタ復旧に関する不具合が扱われています。
要対応 (1)
securitycriticalgRPC依存関係の更新
google.の依存関係を、CVE-2026-33186を解消するバージョンに更新しました。
影響確認 (2)
breakingrawPayload指定時の公開制約
CloudEventsでラップされたトピックにrawPayloadが設定されている場合に適用されます。
breakingJSONスキーマの構造検証
.を設定している場合に適用されます。
このリリースでは、依存関係の更新によって既知のCVEへの対応が行われています。該当する依存関係を利用している環境に関係する変更です。
要対応 (2)
securitycriticalgoogle. の更新
google. の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。
securitymediumgolang. の更新
golang. が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。
v2.0.0では、CRDの配置先が/crdsに変わりました。依存関係のロックファイルも更新され、RUSTSEC-2026-0007への対応が含まれています。
要対応 (2)
securitymediumRUSTSEC-2026-0007に対応するロックファイル更新
依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。
breakingCRDの配置先を/crdsへ変更
CRDの配置先をtemplates/crdsから/crdsへ移しました。
Go 標準ライブラリのセキュリティ修正、Go ツールチェーンの更新、Configuration CRD の変更、新しい RavenDB ステートストア登録を含むリリースです。pub/sub、スケジューラー、サービス呼び出し、ワークフロー、アクター、会話コンポーネント、ステートストア、Sentry にも正確性と性能に関する修正があります。
要対応 (3)
securityhighGo 1. へのツールチェーン更新
リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1. に更新しました。
securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正
html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。
securitylowGO-2026-4602 に対応した os. の境界逸脱修正
os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。
影響確認 (2)
securityhighGO-2026-4601 に対応した IPv6 ホストリテラル解析の修正
net/url を使用している場合に適用されます。
breakingstateRetentionPolicy の Configuration CRD スキーマ修正
stateRetentionPolicy を設定している場合に適用されます。
公開されたセキュリティ修正と indication 名の変更に加え、正確性、動作、可観測性に関する更新が含まれます。大半の変更では、アップグレード以外に運用者の対応は必要ありません。
要対応 (1)
securityhighCVE-2025-47913 への対処
golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。
影響確認 (2)
breakingQuiesceTimeout indication への名称変更
Windows VSSを利用している場合に適用されます。
breakingDefaultVirtWebhookClient{QPS,Burst} の既定値調整
適用対象はリリースノートに明記されていません。
v1.42.1では、goと依存関係の更新によるCVE対応が行われています。依存関係の更新内容を確認する必要があるリリースです。
要対応 (1)
securitygoと依存関係のCVE対応
goおよび依存関係が更新され、CVEへの対応が行われました。
ワークフローやコンポーネント、API、認証、トレーシング、設定、CLI、可観測性に関する機能を追加し、複数の不具合修正と依存関係・ツールチェーンの更新を含むリリースです。セキュリティ修正に加え、Alpha Bulk PubSub APIとAlphaアプリケーションコールバックの非推奨化、従来の動作の削除や縮小も含まれますが、多くの更新では運用者による特別な対応は必要ありません。
要対応 (9)
security暗号関連依存関係の更新
x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。
securityGoの脆弱性修正
Goの脆弱性を修正しました。
securityUID確認の対象をrootに限定
UIDの確認対象をrootだけに更新しました。
securityHTTPパスマッチングとinvocation自動登録の修正
HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。
securitygolang.の更新
golang.を更新しました。
securitygithub.の更新
github.を更新しました。
securityセキュリティ修正
セキュリティ修正を追加しました。
securitygithub.の更新
github.を更新しました。
securityNATSの脆弱性修正
NATSの脆弱性を修正しました。
影響確認 (3)
securityPlacementでのDapr actor type認可
Placement を使用している場合に適用されます。
securitycloudflare workerの脆弱性修正
cloudflare worker を使用している場合に適用されます。
breakingHelm chartからscheduler resourcesを削除
Helm chartを使用している場合に適用されます。
事前準備 (2)
deprecatedAlpha Bulk PubSub APIの非推奨化
/v1.、BulkPublishEventAlpha1、OnBulkTopicEventAlpha1 のいずれかを使用している場合に適用されます。
deprecatedOnBulkTopicEventAlpha1 の非推奨化
OnBulkTopicEventAlpha1 を使用している場合に適用されます。
パッケージのインストールとパッケージキャッシュの扱いに互換性のない変更があり、Function パッケージや未文書のサイドロード方法に影響します。オペレーター機能の追加、依存モジュールの更新、通常の不具合修正も含まれます。セキュリティ修正として示された依存更新には、アドバイザリ識別子や脆弱性の詳細は記載されていません。
要対応 (7)
securitygolang. の v0. への更新
セキュリティ修正として、依存モジュール golang. が v0. に更新されました。
securitygithub. の v5. への更新
セキュリティ修正として、依存モジュール github. が v5. に更新されました。
securitygithub. の v3. への更新
セキュリティ修正として、依存モジュール github. が v3. に更新されました。
securitygithub. の v2. への更新
セキュリティ修正として、依存モジュール github. が v2. に更新されました。
securitygithub. の v1. への更新
セキュリティ修正として、依存モジュール github. が v1. に更新されました。
securitygithub. の v1. への更新
セキュリティ修正として、依存モジュール github. が v1. に更新されました。
securitygithub. の v0. への更新
セキュリティ修正として、依存モジュール github. が v0. に更新されました。
影響確認 (2)
breakingFunction パッケージ内の Input CRDs のインストール停止
Function パッケージと Input CRDs を使用している場合に該当します。
breakingパッケージキャッシュのディスク構造変更
適用対象はリリースノートに明記されていません。
Crossplane v2.1.4では、共有トランジティブ依存関係を更新できない問題を修正し、依存関係のセキュリティ修正を取り込みました。依存関係の更新内容が利用環境に関係する場合は、このリリースの変更対象です。
要対応 (4)
securitygithub.をv0.57.0へ更新
github.をv0.57.0へ更新し、セキュリティ修正を取り込みました。
securitysigstore依存関係のCVE修正
sigstoreの依存関係を更新し、CVEを修正しました。
securitygithub.をv2.4.1へ更新
github.をv2.4.1へ更新し、セキュリティ修正を取り込みました。
securitygithub.をv5.2.4へ更新
github.をv5.2.4へ更新し、セキュリティ修正を取り込みました。
依存関係の更新を含むリリースです。セキュリティに関わるモジュール更新が行われています。
要対応 (1)
securitygithub. の v2. への更新
セキュリティ対応として、モジュール github. を v2. に更新しました。
v1.20.5は、依存関係のアップグレードに関する不具合修正と、セキュリティ対応を含む依存関係の更新を行うリリースです。依存関係の管理や sigstore を利用する環境に関係します。
要対応 (1)
securitysigstore 依存関係の更新によるCVE修正
sigstore の依存関係を更新し、CVEの修正に対応しました。変更は #7066 に基づいています。
