リリース

Kyverno v1.18.2はジェネレータポリシーのnamespace境界強制の脆弱性(GHSA-79gf-7frw-68m9)を修正するセキュリティパッチです。セキュリティ依存関係の更新と複数の重要なバグ修正を含みます。

• securityジェネレータポリシーのnamespace境界強制を修正

  Kyvernoジェネレータポリシーにおいて、namespace境界の強制が不十分だったため、ポリシー作成権限を持つユーザーが他のnamespace内のリソースを生成できていました。v1.18.2へ更新してください。

• securityセキュリティ依存関係の更新

  セキュリティ関連の依存関係が更新されました。v1.18.2へのアップグレードで適用されます。

SPIRE v1.15.2は、docker/dockerをmoby/mobyに移行してCVEを解決するセキュリティリリースであり、委譲型APIがadmin/downstreamエントリのJWT-SVID提供を廃止する動作変更を含みます。同時に、JWT-SVIDのJTIクレーム設定、レート制限、TLSメトリクスエンドポイント、データベース最適化など複数の機能改善とバグ修正を行いました。

• securitydocker/dockerからmoby/mobyへの依存関係移行によるCVE解決

  moby/mobyへの移行により、docker/dockerの依存関係に含まれていた複数のCVEが解決されます。v1.15.2へ更新してください。

• breaking委譲型APIのadmin/downstreamエントリに対するJWT-SVID提供を廃止

  委譲型APIがadminおよびdownstream entriesに対するJWT-SVIDの提供を中止しました。委譲型APIを利用する環境では、この変更後の動作を確認してください。

cert-manager v1.21.0は、RBACとHelm values構成に3件の破壊的変更を含むハードニングリリースで、うち1件はGHSA-8rvj-mm4h-c258のセキュリティ修正です。加えてARI対応やVaultのAWS IAM認証などの新機能、複数の重要なバグ修正も含まれます。

• securitycert-manager-edit ClusterRoleの権限を縮小(GHSA-8rvj-mm4h-c258)

  cert-manager-editアグリゲートClusterRoleから、challenges.acme.cert-manager.ioのcreate権限とorders.acme.cert-manager.ioのcreate/patch/update権限が削除されました(GHSA-8rvj-mm4h-c258)。ChallengeやOrderを直接作成するツールがある場合は、必要な権限を個別のRBACで付与し直す必要があります。

• breakingtokenrequest用デフォルトRBACを削除

  HelmチャートがserviceAccountRef.nameでコントローラー自身のServiceAccountを指すundocumentedな構成を使っていた場合、serviceaccounts/token: createを許可するデフォルトのRole/RoleBindingが削除されたため動作しなくなります。必要なら明示的にRole/RoleBindingを作成してください。

• breakingPrometheus関連のHelm値を削除

  Helm値のprometheus.servicemonitor.targetPort、prometheus.servicemonitor.path、prometheus.podmonitor.pathが削除されました。これらをvaluesで上書きしている場合、アップグレード時にスキーマ検証エラーになります。values定義から削除してください。

OPA v1.18.2は`opa fmt`のリグレッション修正のみを含む小規模パッチです。v1.18.0以降、整形済みポリシーに余計な差分が発生していた場合は、このバージョンへ更新することで解消されます。