リリース

要対応 (1)

• securityGoツールチェーンを1.25.9へ更新

  Goが1.25.9に更新されました。

要対応 (1)

• breakingkubevirt.io:edit からの vnc と screenshot の削除

  kubevirt.io:edit から vnc と screenshot が削除されました。

要対応 (10)

• securitygithub.com/cloudflare/circl の v1.6.3 への更新

  github.com/cloudflare/circl を v1.6.3 に更新しました。

• securityotlptracehttp の v1.43.0 への更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.5 への更新

  github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新

  github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/docker/cli の v29.2.0+incompatible への更新

  github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securityGo の 1.25.9 への更新

  Go を 1.25.9 に更新しました。

• securitygithub.com/moby/spdystream の v0.5.1 への更新

  github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新

  github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新

  github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

要対応 (10)

• securitygithub.com/cloudflare/circl の v1.6.3 への更新

  セキュリティ対応として、github.com/cloudflare/circl を v1.6.3 に更新しました。

• securitygoogle.golang.org/grpc の v1.79.3 への更新

  セキュリティ対応として、google.golang.org/grpc を v1.79.3 に更新しました。

• securitygo.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp の v1.43.0 への更新

  セキュリティ対応として、go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securityGo 1.25.9 への更新

  セキュリティ対応として、Go を 1.25.9 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新

  セキュリティ対応として、github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/moby/spdystream の v0.5.1 への更新

  セキュリティ対応として、github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新

  セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securitygithub.com/docker/cli の v29.2.0+incompatible への更新

  セキュリティ対応として、github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新

  セキュリティ対応として、github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

要対応 (9)

• securitygithub.com/cloudflare/circlをv1.6.3へ更新

  github.com/cloudflare/circlをv1.6.3へ更新しました。

• securityotlptracehttpをv1.43.0へ更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttpをv1.43.0へ更新しました。

• securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新

  github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。

• securityGo 1.25.9への更新

  Goを1.25.9へ更新しました。

• securitygithub.com/go-git/go-git/v5をv5.17.1へ更新

  github.com/go-git/go-git/v5をv5.17.1へ更新しました。

• securitygithub.com/moby/spdystreamをv0.5.1へ更新

  github.com/moby/spdystreamをv0.5.1へ更新しました。

• securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新

  github.com/docker/cliをv29.2.0+incompatibleへ更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2をv2.0.6へ更新

  github.com/sigstore/timestamp-authority/v2をv2.0.6へ更新しました。

• securitygithub.com/go-git/go-git/v5をv5.18.0へ更新

  github.com/go-git/go-git/v5をv5.18.0へ更新しました。

要対応 (5)

• securitygithub.com/cloudflare/circl を v1.6.3 に更新

  github.com/cloudflare/circl が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securitygithub.com/go-git/go-git/v5 を v5.17.1 に更新

  github.com/go-git/go-git/v5 が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  github.com/moby/spdystream が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securitygithub.com/go-git/go-git/v5 を v5.18.0 に更新

  github.com/go-git/go-git/v5 が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

要対応 (2)

• securityACLチェックと送信処理で正規化形式を統一

  正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。

• securityGoの1.24系CVE対応に伴うバージョン更新

  Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

要対応 (1)

• securityACLチェックと送信処理での正規化形式の統一

  正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

要対応 (3)

• securityサービス呼び出し時のメソッドパス正規化を統一

  サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。

• securityメソッドパスの受け入れ条件を変更

  メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。

• securityACLパス処理からpurell依存関係を削除

  ACLパス処理からpurell依存関係を削除しました。

要対応 (1)

• securityGoバージョンの更新

  Goのバージョンが1.25.8から1.25.9に更新されました。

要対応 (1)

• breakingchart.yaml の appVersion を使うデフォルトタグの削除

  chart.yaml の appVersion を使うため、デフォルトタグが削除されました。

要対応 (1)

• securityGo toolchainの更新

  リポジトリ内の全モジュールとDockerイメージで、Go toolchainを1.25.8から1.25.9へ更新しました。

要対応 (1)

• securitycriticalgRPC依存関係の更新

  google.golang.org/grpcの依存関係を、CVE-2026-33186を解消するバージョンに更新しました。

要対応 (2)

• securitycriticalgoogle.golang.org/grpc の更新

  google.golang.org/grpc の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。

• securitymediumgolang.org/x/image の更新

  golang.org/x/image が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。

要対応 (1)

• securityGo 1.25.8への更新

  Goのバージョンが1.25.7から1.25.8に更新されました。

影響確認 (7)

• breakingvirt-controller ClusterRole の取得権限削除

  適用対象はリリースノートに明記されていません。

• breaking一時停止中のVMIに対する停止要求の拒否

  一時停止中のVMIを実行している場合に該当します。

• breakingEnableVirtioFsConfigVolumes のGA移行

  EnableVirtioFsConfigVolumes feature gate を使用している場合に該当します。

• リリースページにあと 4 件

要対応 (2)

• securitymediumRUSTSEC-2026-0007に対応するロックファイル更新

  依存関係のロックファイルを更新し、RUSTSEC-2026-0007に対応しました。

• breakingCRDの配置先を/crdsへ変更

  CRDの配置先をtemplates/crdsから/crdsへ移しました。

要対応 (3)

• securityhighGo 1.25.8 へのツールチェーン更新

  リポジトリ内のすべてのモジュールと Docker イメージで、Go ツールチェーンを 1.24.13 から Go 1.25.8 に更新しました。

• securitymediumGO-2026-4603 に対応した html/template の URL エスケープ修正

  html/template の meta content 属性で URL のアクションがエスケープされず、細工した URL によってクロスサイトスクリプティングが発生する可能性を修正しました。

• securitylowGO-2026-4602 に対応した os.FileInfo の境界逸脱修正

  os の FileInfo が Root の外へ抜け、想定したディレクトリ境界の外にあるファイルへアクセスできる可能性を修正しました。

要対応 (1)

• breakingQuiesceFailed indication の QuiesceTimeout への変更

  QuiesceFailed の表示が QuiesceTimeout に置き換わります。

要対応 (1)

• securityhighCVE-2025-47913 への対処

  golang/x/crypto を openshift/golang-crypto の修正版モジュールに向ける replace directive が追加され、CVE-2025-47913 に対処しました。

要対応 (1)

• securitygoと依存関係のCVE対応

  goおよび依存関係が更新され、CVEへの対応が行われました。

要対応 (1)

• securityGo 1.25.7の更新

  Go 1.25.7では、go コマンドと crypto/tls パッケージのセキュリティ修正に加え、コンパイラーと crypto/x509 パッケージの不具合修正が行われています。

影響確認 (4)

• breakingspec.resourceSelectors の namespace 検証

  PropagationPolicy または OverridePolicy を使用している場合に適用されます。

• breakingWorkloadAffinity の GroupByLabelKey 設定制約

  WorkloadAffinity で GroupByLabelKey を設定している場合に適用されます。

• breaking既定コンポーネントイメージの更新

  適用対象はリリースノートに明記されていません。

• リリースページにあと 1 件

要対応 (9)

• security暗号関連依存関係の更新

  x/(net/sync/crypto)を更新し、dvsekhvalnov/jose2goのバージョンを固定しました。

• securityGoの脆弱性修正

  Goの脆弱性を修正しました。

• securityUID確認の対象をrootに限定

  UIDの確認対象をrootだけに更新しました。

• securityHTTPパスマッチングとinvocation自動登録の修正

  HTTPパスのマッチングで発生するcardinality leakを修正し、invocationの自動登録に対応しました。

• securitygolang.org/x/cryptoの更新

  golang.org/x/cryptoを更新しました。

• securitygithub.com/docker/dockerの更新

  github.com/docker/dockerを更新しました。

• securityセキュリティ修正

  セキュリティ修正を追加しました。

• securitygithub.com/coreos/go-oidc/v3の更新

  github.com/coreos/go-oidc/v3を更新しました。

• securityNATSの脆弱性修正

  NATSの脆弱性を修正しました。