リリース

要対応 (6)

• securityACME サーバーレスポンスボディの上限設定

  ACME サーバーのレスポンスボディを 16 MiB までに制限し、上限のないボディによるサービス拒否を防ぎます。

• securityHTTP-01 セルフチェックでのレスポンス内容の非開示

  ACME HTTP-01 のセルフチェックで取得したレスポンスボディを Challenge.status.reason に反映しなくなりました。リダイレクト先から取得した内部レスポンスの内容が開示されることを防ぎます。

• securityGo 1.26.6 への更新

  Go を 1.26.6 に更新しました。go コマンドと、crypto/tls、encoding/asn1、encoding/xml、html/template、net、net/http、net/url パッケージに含まれるセキュリティ修正が反映されています。

• securitygoogle.golang.org/grpc v1.83.2 への更新

  google.golang.org/grpc を v1.83.2 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• securitygolang.org/x/crypto v0.56.0 への更新

  golang.org/x/crypto を v0.56.0 に更新し、報告されていたセキュリティ脆弱性を修正しました。

• breaking変換後リクエストへの検証適用

  適用対象はリリースノートに明記されていません。

  AdmissionReview では、v1 以外の API バージョンから変換された同等のリクエストにも検証を適用します。これまで検証を回避できたリクエストが対象になります。

要対応 (2)

• securitycriticalGo と x/net の更新

  Go を 1.26.6 に更新し、x/net を更新して CVE-2026-39821 に対応しました。

• securityhighGo の更新

  Go を更新して CVE-2026-56853 に対応しました。

影響確認 (3)

• breakingStatus から State への変更

  Status を設定している場合に適用されます。

• breakingSCM basic auth から Entra ID bearer token への置き換え

  SCM basic auth を使用している場合に適用されます。

• breakingcloud-run のラベル変更で非スキーマフィールドを除外

  cloud-run を使用している場合に適用されます。

要対応 (2)

• securityGo依存関係のセキュリティ脆弱性を修正

  Go依存関係に含まれるDependabotのセキュリティ脆弱性を修正しました。

• securitygosec のSAST検出結果を修正

  gosec v2.27.1のSAST検出結果に対応するセキュリティ修正を追加しました。