リリース

要対応 (8)

• securityhighgroup-adminからrealm-adminへの権限昇格

  CVE-2026-9099により、group-adminからrealm-adminへ権限を昇格できる問題が修正されました。

• securityhighURI検証の回避によるクロスサイトスクリプティング

  CVE-2026-9086に該当する、URI検証の大文字小文字を区別しない判定を回避したクロスサイトスクリプティング（XSS）の問題が修正されました。

• securityhigh不適切なスコープマッピング適用による権限昇格

  CVE-2026-9795に該当する、不適切なスコープマッピングの適用による権限昇格の問題が修正されました。

• securityhighURI比較の誤りによる認可回避

  CVE-2026-9800に該当する、URI比較の誤りによるKeycloak policy enforcerの認可回避の問題が修正されました。

• securityhighJWTアルゴリズムの混同による認証回避

  CVE-2026-11800に該当する、JWTアルゴリズムの混同を利用した認証回避の問題が修正されました。

• securitymedium任意のファイルシステムパス探索による情報漏えい

  CVE-2026-9083に該当する、任意のファイルシステムパスの探索による情報漏えいの問題が修正されました。

• securitymedium無効化されたクライアントの再有効化と乗っ取り

  CVE-2026-9705に該当する、registration access tokenを使って無効化されたクライアントを再有効化し、乗っ取れる問題が修正されました。

• securitymediumUMA permission ticket回避によるリソースへの不正アクセス

  CVE-2026-9799に該当する、UMA permission ticketの回避によるリソースへの不正アクセスの問題が修正されました。

要対応 (2)

• securityhighGoのv1.25.11への更新

  Goがv1.25.11へ更新され、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507への対応が行われました。

• securityGoの1.25.10へのアップグレード

  報告された脆弱性への対応として、Goが1.25.10へアップグレードされ、依存関係も更新されました。

要対応 (1)

• securityhighGo を v1.26.4 に更新

  Go を v1.26.4 に更新し、CVE-2026-27145、CVE-2026-42504、CVE-2026-42507 への修正を取り込みました。

影響確認 (3)

• securitymediumMySQLスキーママイグレーション008の追加

  MySQL backendを使用している場合に適用されます。

• security事前共有鍵認証の定時間比較

  事前共有鍵認証を使用している場合に適用されます。

• securityOIDC設定でのissuerとaudienceの必須化

  authn.methodがoidcに設定されている場合に適用されます。

要対応 (1)

• securitymediumGo 1.26.4への更新による標準ライブラリの脆弱性修正

  OPAのビルドにGo 1.26.4を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。

要対応 (2)

• securityGoツールチェーンの1.26.4への更新

  ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。

• securitygrpc-health-probeのv0.4.52への更新

  grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

要対応 (2)

• securityhighlodash のコードインジェクション脆弱性を修正

  CVE-2026-4800 に関連する、lodash のコードインジェクション脆弱性を修正しました。

• securitymediumNetty の HTTP/1.0 リクエストスマグリング対策の修正

  CVE-2026-42581 に関連する、Netty の HTTP/1.0 における TE と CL の併用がリクエストスマグリング対策を回避する問題を修正しました。

要対応 (1)

• securityキャッシュキー生成の再設計

  キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。