CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ関連の依存関係更新とツールチェーン更新を含み、通常の依存関係およびランタイムのバージョン変更もあります。アドバイザリ識別子は記載されていません。
要対応 (5)
security脆弱な依存関係の更新
脆弱性のある依存関係を更新しました。
security脆弱な依存関係の更新
脆弱性のある依存関係を更新しました。
securitygithub. の更新
github. を v5. に更新しました。
securitygolang. の更新
golang. を v0. に更新しました。
securityGo 1. への更新
Go を 1. に更新しました。
運用者向けには、配布物の検証や削除保護に関する不具合修正と、依存関係のセキュリティ更新が含まれます。依存関係の更新では、上流のCVE修正が取り込まれています。
要対応 (1)
security依存関係のセキュリティ更新
上流のCVE修正を取り込むため、cel-go（#7760）、golang.（#7742）、sigstore-go（#7677）、go-git（#7724）を更新しました。脆弱性のある依存関係をまとめて更新する変更（#7649）も含まれます。さらに、独自のセキュリティ依存関係更新を含む crossplane-runtime を v2.（#7766）へ更新しました。
チェックサムと Usage インデックスの不具合を修正し、セキュリティ関連の依存関係とビルド依存関係を更新したリリースです。セキュリティ関連の依存関係を利用している場合はアップグレードが必要ですが、オペレーター設定の移行についての記載はありません。
要対応 (4)
securitygolang. の更新
依存モジュール golang. が更新されました。
securitygithub. を v1. に更新
依存モジュール github. が v1. に更新されました。
securitygithub. を v0. に更新
依存モジュール github. が v0. に更新されました。
securitycrossplane-runtime を v2. に更新
crossplane-runtime が v2. に更新されました。
CLI の公開方法、実行時の挙動、リソース削除の条件に運用上の変更があります。正確性の修正に加え、Go と依存関係のセキュリティ更新も含まれています。
要対応 (15)
securityGo と Go 依存関係のセキュリティ更新
Crossplane のビルドと実行に使う Go のバージョンが引き上げられ、標準ライブラリの CVE 修正が取り込まれました。リリースサイクル全体で、Crossplane の Go 依存関係にもセキュリティ更新が適用されています。
securityGo を 1.25.10 に更新
標準ライブラリの CVE を修正するため、Go が 1.25.10 に更新されました。
securitygolang. を v0.52.0 に更新
セキュリティ対応として、golang. が v0.52.0 に更新されました。
securitygolang. を v0.44.0 に更新
セキュリティ対応として、golang. が v0.44.0 に更新されました。
securitygolang. を v0.55.0 に更新
セキュリティ対応として、golang. が v0.55.0 に更新されました。
securitygithub. を v3.0.6 に更新
セキュリティ対応として、github. が v3.0.6 に更新されました。
securitygithub. を v1.5.2 に更新
セキュリティ対応として、github. が v1.5.2 に更新されました。
securitygithub. を v2.1.0 に更新
セキュリティ対応として、github. が v2.1.0 に更新されました。
securitygithub. を v1.2.0 に更新
セキュリティ対応として、github. が v1.2.0 に更新されました。
securitygrpc、x/net、x/text のセキュリティ更新
セキュリティ対応として、grpc、x/net、x/text の依存関係がまとめて更新されました。
securitygolang. を v0.56.0 に更新
セキュリティ対応として、golang. が v0.56.0 に更新されました。
securitygolang. を v0.39.0 に更新
セキュリティ対応として、golang. が v0.39.0 に更新されました。
security脆弱な依存関係の更新
脆弱性のある依存関係が更新されました。
securitygithub. を v1.2.1 に更新
セキュリティ対応として、github. が v1.2.1 に更新されました。
securitygolang. を v0.40.0 に更新
セキュリティ対応として、golang. が v0.40.0 に更新されました。
影響確認 (4)
breakingCrossplane CLI の公開先とバイナリ名の変更
Crossplane CLI を使用している場合に該当します。
Crossplane CLI は releases. で公開されなくなりました。新しい CLI リリースは cli. だけで公開され、バイナリ名も crank から crossplane に変わります。
breakingDeploymentRuntimeConfig の spec. の扱い変更
DeploymentRuntimeConfig で spec. を設定している場合に該当します。
DeploymentRuntimeConfig の spec. は、常時稼働させる指定ではなく、稼働中に実行するレプリカ数として扱われます。ゼロへのスケールは、明示した spec. より優先されます。
breakingcomposed resource の削除対象の限定
適用対象はリリースノートに明記されていません。
composed resource のガベージコレクターは、コントローラー参照が XR を指し返しているリソースだけを削除するようになりました。
事前準備 (1)
deprecatedCrossplane v1. のサポート終了予定v2.5 (Nov 2026)で削除予定
Crossplane v1. を実行しており、v2.5 が 2026年11月にリリースされた場合に該当します。
2026年11月に v2.5 がリリースされると、Crossplane v1. は EOL となり、Crossplane プロジェクトからサポートとメンテナンスを受けられなくなります。
セキュリティ関連の依存モジュールを更新したリリースです。セキュリティ修正を取り込むにはアップグレードが必要ですが、追加の設定作業はありません。
要対応 (7)
securitygithub. を v1.5.2 に更新
github. を v1.5.2 に更新しました。セキュリティ修正を含むバージョンです。
securitygithub. を v3.0.6 に更新
github. を v3.0.6 に更新しました。セキュリティ修正を含むバージョンです。
securitygithub. を v2.1.0 に更新
github. を v2.1.0 に更新しました。セキュリティ修正を含むバージョンです。
securitygithub. を v1.2.0 に更新
github. を v1.2.0 に更新しました。セキュリティ修正を含むバージョンです。
securitygrpc、golang.、golang. のセキュリティ更新
grpc、golang.、golang. のセキュリティ更新をまとめて適用しました。
securitygolang. を v0.39.0 に更新
golang. を v0.39.0 に更新しました。セキュリティ修正を含むバージョンです。
securitygolang. を v0.56.0 に更新
golang. を v0.56.0 に更新しました。セキュリティ修正を含むバージョンです。
このリリースは依存モジュールの更新を含みます。更新対象にはセキュリティ関連のモジュールが含まれています。
要対応 (5)
securitygithub. の v1.5.2 への更新
github. を v1.5.2 に更新しました。
securitygithub. の v3.0.6 への更新
github. を v3.0.6 に更新しました。
securitygithub. の v2.1.0 への更新
github. を v2.1.0 に更新しました。
securitygithub. の v1.2.0 への更新
github. を v1.2.0 に更新しました。
securitygrpc、x/net、x/text の依存関係更新
grpc、x/net、x/text のセキュリティ関連の依存関係を更新しました。
このリリースは、セキュリティ対応の依存関係更新とツールチェーン更新を含みます。署名関連モジュールや Go のバージョンを管理している環境では、更新対象の差分が関係します。
要対応 (7)
securitygithub. の更新
github. を v1. に更新しました。
securitygithub. の更新
github. を v2. に更新しました。
securitygithub. の更新
github. を v2. に更新しました。
securityGo 1. への更新
ビルドに使用する Go を 1. に更新しました。
securitygithub. の更新
github. を v1. に更新しました。
securitygrpc、x/net、x/text の更新
grpc、x/net、x/text のセキュリティ対応更新をまとめて適用しました。
securitygolang. の更新
golang. を v0. に更新しました。
Usageの所有者更新が繰り返される問題を修正し、セキュリティ関連の依存関係とツールチェーンを更新しています。依存モジュール、Go、Dockerイメージの更新を含むリリースです。
要対応 (4)
securitygithub. の更新
依存モジュール github. を v1.5.2 に更新しました。
securityGo 1.25.12 への更新
セキュリティ対応として、Go を 1.25.12 に更新しました。
securityalpine Docker タグの更新
Docker の alpine タグを v3.24 に更新しました。
securitygrpc、x/net、x/text の更新
grpc、x/net、x/text の依存関係をセキュリティ対応の更新にまとめて引き上げました。
セキュリティ関連の修正を含み、依存関係とツールチェーンも更新されたリリースです。パッケージ署名の検証処理や Go 環境を利用する構成に関係します。
要対応 (2)
securityパッケージ署名検証における TOCTOU の修正
悪意のある OCI レジストリが、署名済みイメージで検証を通過した後に未署名の内容をインストール用に配信できる TOCTOU の問題を修正しました。crossplane-runtime を v2. に更新してこの修正を取り込みました。関連するアドバイザリは GHSA-mf7q-r4rv-jv94 です。
securityGo とネットワーク関連依存関係の更新
Go を 1. に更新し、CVE 対応として golang. と golang. も更新しました。
パッケージ署名検証に関する問題を修正したリリースです。依存関係の更新も含まれています。
要対応 (1)
securitycriticalパッケージ署名検証の TOCTOU 修正
パッケージ署名検証における TOCTOU の問題を修正しました。関連するアドバイザリは GHSA-wfqx-gjrf-g28r です。
v2.1.7では、依存関係とGoのバージョンに関わる更新が含まれています。セキュリティ関連として記載された変更であり、該当する依存関係やビルド環境を利用する運用に関係します。
要対応 (3)
securitygithub. の v0. 更新
依存モジュール github. を v0. に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。
securitygolang. の v0. 更新
依存モジュール golang. を v0. に更新しました。リリースノートでは、セキュリティ関連の更新として記載されています。
securityGo の 1. への更新
Go を 1. に更新しました。リリースノートでは、セキュリティ関連の変更として記載されています。
セキュリティ関連のGoツールチェーンとMongoDBドライバーの依存関係更新に加え、通常の依存関係更新を含むリリースです。cosignとDockerの対応項目は適用されず、制限として残っています。
要対応 (2)
securityhighGoツールチェーンを1.へ更新
Goツールチェーンを1.へ更新しました。1.はGo 1.25向けのセキュリティパッチで、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507に対応します。
securitygo.をv1.へ更新
go.をv1.へ更新しました。
XRのレンダリングと要件処理が変更され、リソース参照の安定ソートが修正されています。crossplane-runtimeの依存関係も更新されています。
依存モジュールの更新を含むリリースです。golang. の更新には [security] の印が付いていますが、具体的な脆弱性は示されていません。
要対応 (1)
securitygolang. を v0.55.0 に更新
依存モジュール golang. を v0.55.0 に更新しました。変更には [security] の印が付いています。
依存モジュールの更新と、golang. に関するセキュリティ修正を含みます。SSH と SSH エージェント関連の機能を利用している環境では、該当する修正内容の確認が必要です。
要対応 (1)
securitygolang. を v0. に更新
依存モジュール golang. を v0. に更新しました。
影響確認 (13)
securitycriticalgolang. のキー制約適用を修正
golang. を使用している場合に該当します。
golang. でキー制約が適用されない問題を修正しました。関連する識別子は CVE-2026-39833 と GO-2026-5005 です。
securitycriticalキー転送時のエージェント制約欠落を修正
golang. を使用している場合に該当します。
golang. でキー転送時にエージェント制約が失われる問題を修正しました。関連する識別子は CVE-2026-39832 と GO-2026-5006 です。
securitycritical予期しない応答によるサーバーデッドロックを修正
golang. を使用している場合に該当します。
golang. で予期しない応答を受けたクライアントにより、サーバーがデッドロックする問題を修正しました。関連する識別子は CVE-2026-39830 と GO-2026-5017 です。
依存モジュールとGoの更新を含むリリースです。標準ライブラリや複数の依存モジュールに関するセキュリティ対応が行われています。
要対応 (7)
securitygithub.をv29.へ更新
github.をv29.へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。
securitygolang.をv0.へ更新
golang.をv0.へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。
securitygithub.をv0.へ更新
github.をv0.へ更新し、依存モジュールのセキュリティ対応を行いました。
securitygithub.をv5.へ更新
github.をv5.へ更新し、依存モジュールのセキュリティ対応を行いました。
securityGoを1.へ更新
Goを1.へ更新し、標準ライブラリのCVEsに対応しました。
securitygithub.をv5.へ更新
github.をv5.へ更新し、依存モジュールのセキュリティ対応を行いました。
securitygolang.をv0.へ更新
golang.をv0.へ更新しました。セキュリティ対応として依存モジュールのバージョンを変更しています。
セキュリティ関連の依存関係とGoのバージョンが更新され、HTTP/2で不正な設定値を受け取った際の無限ループも修正されています。利用にはGoおよび依存関係のバージョン更新が必要です。設定移行や非推奨化の告知はありません。
要対応 (6)
securitygo. の更新
go. を v1.41.0 に更新しました。
securitygithub. の更新
github. を v0.11.0 に更新しました。
securitygithub. の更新
github. を v5.19.0 に更新しました。
securityGo 1.25.10への更新
Go を 1.25.10 に更新し、標準ライブラリのCVEsに対応しました。
securitygithub. の更新
github. を v5.19.1 に更新しました。
securitygolang. の更新
golang. を v0.52.0 に更新しました。
影響確認 (1)
securityhighHTTP/2トランスポートの無限ループ修正
適用対象はリリースノートに明記されていません。
不正な SETTINGS_MAX_FRAME_SIZE を受け取った際に、golang. の net/http/internal/http2 で発生する無限ループを修正しました。関連する識別子は CVE-2026-33814、BIT-golang-2026-33814、GO-2026-4918 です。
v2.2.2では、依存モジュールやGoのバージョンが更新されています。セキュリティ修正に関わる変更が含まれるため、該当する依存関係や標準ライブラリを利用する環境に関係するリリースです。
要対応 (5)
securitygithub. の v0.11.0 更新
セキュリティ対応として、github. を v0.11.0 に更新しました。
securitygithub. の v5.19.0 更新
セキュリティ対応として、github. を v5.19.0 に更新しました。
securityGo 1.25.10 への更新
標準ライブラリの CVE を修正するため、Go を 1.25.10 に更新しました。
securitygithub. の v5.19.1 更新
セキュリティ対応として、github. を v5.19.1 に更新しました。
securitygolang. の v0.52.0 更新
セキュリティ対応として、golang. を v0.52.0 に更新しました。
Crossplane v2.3.0では、外部 API の依存先パスとリソース型名が変わり、crossplane-runtime の common API も移動しました。依存モジュールと Go の更新により、セキュリティ対応も行われています。
要対応 (14)
securitygithub. の更新
github. を v1.6.3 に更新しました。
securitygoogle. の更新
google. を v1.79.3 に更新しました。
securityOTLP HTTP エクスポーターの更新
go. を v1.43.0 に更新しました。
securitygithub. の更新
github. を v5.17.1 に更新しました。
securitygithub. の更新
github. を v4.1.4 に更新しました。
securitygithub. の更新
github. を v3.0.5 に更新しました。
securitygithub. の更新
github. を v29.2.0+incompatible に更新しました。
securitygithub. の更新
github. を v2.0.6 に更新しました。
securityGo 1.25.9 への更新
Go を 1.25.9 に更新しました。
securitygithub. の更新
github. を v0.5.1 に更新しました。
securitygithub. の更新
github. を v5.18.0 に更新しました。
securitygithub. の更新
github. を v0.11.0 に更新しました。
securitygolang. の更新
golang. を v0.53.0 に更新しました。
securityGo 1.25.10 への更新
標準ライブラリの CVE 修正に対応するため、Go を 1.25.10 に更新しました。
影響確認 (3)
breakingCrossplane API の依存先パス変更
Crossplane API の外部利用側を構築している場合に適用されます。
外部の Crossplane API 利用側では、依存先を github. から github. に更新します。
breakingcommon API の移動
crossplane-runtime の common API を利用している場合に適用されます。
crossplane-runtime の common API は github. に移動しました。
breakingリソース型名の変更
従来の v1. 型を利用している場合に適用されます。
従来の v1. 型は v2. になりました。名前空間付きの型には v2. が使われます。
v1.20.7では、Goツールチェーンのバージョンが更新されています。Goのバージョンを運用環境で確認している場合に関係します。
要対応 (1)
securityGoツールチェーンを1.へ更新
Goが1.に更新されました。
このリリースでは、セキュリティ対応として Go と複数の依存モジュールを更新しています。依存関係の更新を取り込む環境に関係するリリースです。
要対応 (10)
securitygithub. の v1. への更新
github. を v1. に更新しました。
securityotlptracehttp の v1. への更新
go. を v1. に更新しました。
securitygithub. の v4. への更新
github. を v4. に更新しました。
securitygithub. の v3. への更新
github. を v3. に更新しました。
securitygithub. の v5. への更新
github. を v5. に更新しました。
securitygithub. の v29. への更新
github. を v29. に更新しました。
securityGo の 1. への更新
Go を 1. に更新しました。
securitygithub. の v0. への更新
github. を v0. に更新しました。
securitygithub. の v2. への更新
github. を v2. に更新しました。
securitygithub. の v5. への更新
github. を v5. に更新しました。
Crossplane v2.1.5は、依存関係とGoツールチェーンのセキュリティ対応を中心としたリリースです。複数のモジュールが新しいバージョンに更新されています。
要対応 (10)
securitygithub. の v1. への更新
セキュリティ対応として、github. を v1. に更新しました。
securitygoogle. の v1. への更新
セキュリティ対応として、google. を v1. に更新しました。
securitygo. の v1. への更新
セキュリティ対応として、go. を v1. に更新しました。
securitygithub. の v4. への更新
セキュリティ対応として、github. を v4. に更新しました。
securityGo 1. への更新
セキュリティ対応として、Go を 1. に更新しました。
securitygithub. の v5. への更新
セキュリティ対応として、github. を v5. に更新しました。
securitygithub. の v0. への更新
セキュリティ対応として、github. を v0. に更新しました。
securitygithub. の v2. への更新
セキュリティ対応として、github. を v2. に更新しました。
securitygithub. の v29. への更新
セキュリティ対応として、github. を v29. に更新しました。
securitygithub. の v5. への更新
セキュリティ対応として、github. を v5. に更新しました。
v2.0.8では、運用時に確認される不具合を修正し、Goと複数の依存モジュールを更新しました。セキュリティ更新の詳細な開示内容は示されず、対象コンポーネントのみが記載されています。
要対応 (9)
securitygithub.をv1.6.3へ更新
github.をv1.6.3へ更新しました。
securityotlptracehttpをv1.43.0へ更新
go.をv1.43.0へ更新しました。
securitygithub.をv4.1.4へ更新
github.をv4.1.4へ更新しました。
securityGo 1.25.9への更新
Goを1.25.9へ更新しました。
securitygithub.をv5.17.1へ更新
github.をv5.17.1へ更新しました。
securitygithub.をv0.5.1へ更新
github.をv0.5.1へ更新しました。
securitygithub.をv29.2.0+incompatibleへ更新
github.をv29.2.0+incompatibleへ更新しました。
securitygithub.をv2.0.6へ更新
github.をv2.0.6へ更新しました。
securitygithub.をv5.18.0へ更新
github.をv5.18.0へ更新しました。
このリリースでは、依存関係の更新によってセキュリティ修正が取り込まれています。該当する依存関係を利用している環境では、修正を得るためにアップグレードが必要です。
要対応 (5)
securitygithub. を v1.6.3 に更新
github. が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。
securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新
go. が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub. を v5.17.1 に更新
github. が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub. を v0.5.1 に更新
github. が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。
securitygithub. を v5.18.0 に更新
github. が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。
パッケージのインストールとパッケージキャッシュの扱いに互換性のない変更があり、Function パッケージや未文書のサイドロード方法に影響します。オペレーター機能の追加、依存モジュールの更新、通常の不具合修正も含まれます。セキュリティ修正として示された依存更新には、アドバイザリ識別子や脆弱性の詳細は記載されていません。
要対応 (7)
securitygolang. の v0. への更新
セキュリティ修正として、依存モジュール golang. が v0. に更新されました。
securitygithub. の v5. への更新
セキュリティ修正として、依存モジュール github. が v5. に更新されました。
securitygithub. の v3. への更新
セキュリティ修正として、依存モジュール github. が v3. に更新されました。
securitygithub. の v2. への更新
セキュリティ修正として、依存モジュール github. が v2. に更新されました。
securitygithub. の v1. への更新
セキュリティ修正として、依存モジュール github. が v1. に更新されました。
securitygithub. の v1. への更新
セキュリティ修正として、依存モジュール github. が v1. に更新されました。
securitygithub. の v0. への更新
セキュリティ修正として、依存モジュール github. が v0. に更新されました。
影響確認 (2)
breakingFunction パッケージ内の Input CRDs のインストール停止
Function パッケージと Input CRDs を使用している場合に該当します。
Function パッケージに含まれる Input CRDs は、パッケージマネージャーによってインストールされなくなりました。
breakingパッケージキャッシュのディスク構造変更
適用対象はリリースノートに明記されていません。
パッケージキャッシュのディスク上の構造が変更され、パッケージを Crossplane にサイドロードする未文書の方法は使えなくなりました。
Crossplane v2.1.4では、共有トランジティブ依存関係を更新できない問題を修正し、依存関係のセキュリティ修正を取り込みました。依存関係の更新内容が利用環境に関係する場合は、このリリースの変更対象です。
要対応 (4)
securitygithub.をv0.57.0へ更新
github.をv0.57.0へ更新し、セキュリティ修正を取り込みました。
securitysigstore依存関係のCVE修正
sigstoreの依存関係を更新し、CVEを修正しました。
securitygithub.をv2.4.1へ更新
github.をv2.4.1へ更新し、セキュリティ修正を取り込みました。
securitygithub.をv5.2.4へ更新
github.をv5.2.4へ更新し、セキュリティ修正を取り込みました。
依存関係の更新を含むリリースです。セキュリティに関わるモジュール更新が行われています。
要対応 (1)
securitygithub. の v2. への更新
セキュリティ対応として、モジュール github. を v2. に更新しました。
v1.20.5は、依存関係のアップグレードに関する不具合修正と、セキュリティ対応を含む依存関係の更新を行うリリースです。依存関係の管理や sigstore を利用する環境に関係します。
要対応 (1)
securitysigstore 依存関係の更新によるCVE修正
sigstore の依存関係を更新し、CVEの修正に対応しました。変更は #7066 に基づいています。
