CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
OPAのビルドに使用するGoが1.へ更新され、HTTPハンドラーと暗号組み込みが利用する標準ライブラリの脆弱性が修正されています。自前でバイナリやイメージをビルドする利用者は、使用するGoのバージョンを自身で管理します。
要対応 (1)
securitycriticalOPAのビルドに使用するGoを1.26.6へ更新
このリリースでは、OPAをGo 1.でビルドします。OPAのHTTPハンドラーと暗号組み込みが利用するコードの標準ライブラリ脆弱性を修正しています。
SQLインジェクション経路の修正と、GHSA-fxhp-mv3v-67qp に対応する依存関係の更新を含みます。Regoの安全性検査に伴う互換性のない変更に加え、ランタイムやCLIの動作変更、新しい機能、正確性と性能に関する修正も含まれています。
要対応 (3)
securityhighoras. の更新
oras. が 2. から 2. に更新され、GHSA-fxhp-mv3v-67qp に対応しました。
breakingHTTPサーバーの ReadHeaderTimeout 設定
すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。
breaking同名の部分集合ルールと -object ルールの拒否
部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。
影響確認 (2)
securityCompile API の動的キーによるSQL識別子生成の修正
Compile API を使用し、動的キーも使用している場合に適用されます。
Compile API で動的キーを使う場合に適用されます。部分評価された参照からSQLのフィールド名が生成されるため、input. のようなポリシーでは、呼び出し元が指定した文字列が識別子の位置に入ります。
breakingrego_unsafe_var_error の発生条件変更
適用対象はリリースノートに明記されていません。
これまでコンパイルできていた該当ポリシーが、rego_unsafe_var_error で失敗するようになりました。
v1.18.2のリリース情報には、個別の変更項目がありません。対象となる更新内容は、この情報からは確認できません。
原文 ↗外向きの User-Agent 値が変更されるため、旧文字列との完全一致に依存する設定では対応が必要です。ランタイムの自動設定、フォーマットやカバレッジの処理、コンパイラーとランタイムの不具合、依存関係にも更新があります。
影響確認 (1)
breakingUser-Agent ヘッダーの形式変更
サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。
User-Agent ヘッダーの値が Open-Policy-Agent/<version> (<os>, <arch>) に変わりました。旧文字列との完全一致を使うサーバー側のログフィルターや WAF ルールは更新が必要です。
Goの依存バージョンを更新し、標準ライブラリで報告された2件の脆弱性に対応しています。公式のOPAバイナリを利用している場合は更新が必要で、自前でバイナリやイメージをビルドしている場合はGoのバージョンを個別に管理してください。
要対応 (1)
securitymediumGo 1.への更新による標準ライブラリの脆弱性修正
OPAのビルドにGo 1.を使用し、HTTP handlerとcrypto builtinsが利用する標準ライブラリの脆弱性GO-2026-5037およびGO-2026-5039を修正しました。
OPA v1.17.0では、ポリシー評価やスキーマ、サーバーAPIに関わる機能が更新されています。依存関係の整理と更新に加え、実行時の正確性やメモリ割り当てにも変更があります。
原文 ↗OPA v1.では、ビルドに使用する依存バージョンが更新されています。脆弱性への対応を含むリリースです。
要対応 (1)
securityビルドに使用するGoを1.へ更新
OPAのバイナリとイメージのビルドに使用するGoのバージョンを1.へ更新し、複数の脆弱性に対応しています。
プラグインマネージャーの回帰に関する修正を含むパッチリリースです。変更項目はありません。
原文 ↗OPA v1.は、URI組み込み関数、Data APIのメタデータ、テストとWASM、Regoおよびスキーマ対応を広げる一方、書式設定やログ、サーバー、TLS、ソケット、ストレージ、依存関係の挙動も変えます。シャットダウンの回帰が報告されているため、利用先ではv1.を避け、v1.へ直接更新する扱いです。
要対応 (1)
breakingHTMLインデックスページのクエリフォーム削除
v1.では、HTMLインデックスページにあったクエリフォームが削除されました。
このリリースでは、OPAのバイナリとイメージをビルドするGoのバージョンが更新されています。更新先には複数のセキュリティ修正が含まれます。
要対応 (1)
securityビルド用Goの1.への更新
OPAのバイナリとイメージのビルドに使うGoのバージョンが1.へ更新されました。このGoバージョンには複数のセキュリティ修正が含まれています。
v1.15.1は、OPAをGoモジュールとして利用し、独自のLogger実装を組み込む際のビルドに影響した、互換性のないLoggerインターフェース変更を修正するリリースです。バイナリとDockerイメージの動作に変更はありません。
原文 ↗v1.15.0では、カスタムのHTTPAuthPlugin実装における認証処理の配置が変わりました。該当する実装では、リクエストごとの処理をNewClient()からPrepare()へ移す契約になっています。
影響確認 (1)
breakingHTTPAuthPluginの認証処理位置の変更
カスタムのHTTPAuthPlugin実装を使用している場合に適用されます。
カスタムのHTTPAuthPluginでは動作が変わり、リクエストごとの認証処理はNewClient()ではなくPrepare()に置く契約になりました。
v1.14.1は、バグ修正と依存関係更新をまとめたパッチリリースです。Golang標準ライブラリや共通パッケージを利用する環境に関係します。
要対応 (1)
securityGolang標準ライブラリと共通パッケージの依存関係更新
Golang標準ライブラリと共通パッケージの脆弱性に関する依存関係更新が含まれています。
ランタイムとAPIの機能追加に加え、サポート対象の挙動や出力の変更、複数の不具合修正、依存関係の更新が含まれます。依存関係の更新の一つでは、GHSA-9h8m-3fm2-qjrq への対応も行われています。
要対応 (1)
securityhighgo. 依存関係のセキュリティ修正
go. の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。
影響確認 (1)
breaking--h2c の Unix ドメインソケット対応
--h2c を Unix ドメインソケット（UDS）で使用する場合に適用されます。
--h2c で Unix ドメインソケット（UDS）をサポートします。
OPA v1.13.2では、バイナリとイメージのビルドに使うGoのバージョンが更新されています。更新先のGo標準ライブラリには、GO-2026-4337の修正が含まれます。
要対応 (1)
securitycriticalビルド用Goを1.25.7へ更新
OPAのバイナリとイメージのビルドに使うGoを1.25.7へ更新しました。Go標準ライブラリには、GO-2026-4337の修正が含まれています。
OPA v1.13.1では、単一要素の配列を処理する際のarray.の動作が修正されています。該当処理を利用している環境に関係するリリースです。
v1.13.0では、Decision Loggerのアップロードモード、Rego組み込み機能、組み込み入力の対応範囲が追加・拡張されています。ランタイムとコンパイラーの不具合修正に加え、性能改善と依存関係の更新も含まれています。
原文 ↗このリリースには、表示対象の変更項目がありません。セキュリティ上の問題や、アップグレード以外の運用操作は示されていません。
原文 ↗v1.12.2は、TemplateStringの公開メソッドを追加し、テンプレート文字列のASTとシリアライズに関する不具合を修正するリリースです。テンプレート文字列を扱う実装に関係する内容です。
原文 ↗
