リリース

要対応 (1)

• securityhighGoツールチェーンの更新

  Goのツールチェーンを1.26.5へ更新し、組み込みのgrpc-health-probeをv0.4.53へ更新してGo 1.26.5で再ビルドしました。リリースイメージに含まれるGo標準ライブラリの脆弱性（CVE-2026-39822を含む）に対応しています。

影響確認 (3)

• securitymediumMySQLスキーママイグレーション008の追加

  MySQL backendを使用している場合に適用されます。

  MySQL backend向けにスキーママイグレーション008を追加しました。このマイグレーションにはメンテナンス時間が必要で、アップグレード前に[オペレーター向けランブック](https://github.com/openfga/openfga/blob/main/assets/migrations/mysql/collation_migrations.md)の確認が必要です。対象となる識別子はCVE-2026-55170およびCVE-2026-55689です。

• security事前共有鍵認証の定時間比較

  事前共有鍵認証を使用している場合に適用されます。

  事前共有鍵認証での比較にcrypto/subtle.ConstantTimeCompareを使うよう修正し、従来のマップ検索によって有効な鍵バイトに関する情報がタイミングサイドチャネルから漏れる可能性を閉じました。

• securityOIDC設定でのissuerとaudienceの必須化

  authn.methodがoidcに設定されている場合に適用されます。

  authn.methodがoidcの場合、authn.oidc.issuerとauthn.oidc.audienceの両方を設定する検証を追加しました。

要対応 (2)

• securityGoツールチェーンの1.26.4への更新

  ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。

• securitygrpc-health-probeのv0.4.52への更新

  grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

要対応 (1)

• securityキャッシュキー生成の再設計

  キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。

要対応 (1)

• securitygrpc-health-probe の v0.4.50 への更新

  grpc-health-probe を v0.4.50 に更新し、Go標準ライブラリにある複数のCVEに対応します。

要対応 (1)

• securityGoツールチェーンを1.26.3へ更新

  標準ライブラリの脆弱性に対応するため、Goのツールチェーンを1.26.3へ更新しました。

要対応 (1)

• securityGo ツールチェーンを 1.26.2 に更新

  ツールチェーンの Go を 1.26.2 に更新しました。Go標準ライブラリで報告された脆弱性に対応する更新です。

影響確認 (2)

• securityAuthZEN ディスカバリーのエンドポイント URL を設定値から生成

  authzen.baseURL を設定している場合に適用されます。

  AuthZEN のディスカバリーメタデータが、リクエストの Host ヘッダーではなく設定済みの authzen.baseURL からエンドポイント URL を公開するようになり、Host ヘッダー汚染を防ぎます。

• securityテスト用 Docker パッケージを Moby に置換

  テストを実行する場合に適用されます。

  テストでのみ使用していた脆弱性のある github.com/docker/docker パッケージを削除し、Moby (client \u0026 api) に置き換えました。

要対応 (1)

• securitymediumBatchCheckのポリシー適用不備を修正

  同じタプルに対する複数のチェックを含むBatchCheck呼び出しで、ポリシーが正しく適用されない問題を修正しました。CVE-2026-34972およびGHSA-jwvj-g8pc-cx45に関係する修正です。

影響確認 (1)

• securitymedium条件付き Check リクエストのキャッシュ結果に関する脆弱性を修正

  条件付きの Check リクエストでキャッシュを有効にしている場合に適用されます。

  条件付きの Check リクエストでキャッシュを有効にしている場合、誤ったキャッシュ結果を返す脆弱性を修正しました。CVE-2026-33729（GHSA-h6c8-cww8-35hf）に該当します。

要対応 (2)

• securityhighgo ツールチェーンの更新

  go ツールチェーンを 1.25.8 に更新し、標準ライブラリの脆弱性 GO-2026-4603 と GO-2026-4601 に対応しました。

• breakingタプル文字列の検証条件変更

  タプル文字列に unicode control characters または null bytes が含まれている場合、タプル検証が失敗するようになりました。

要対応 (1)

• securitycriticalgrpc-health-probeをv0.4.45へ更新

  grpc-health-probeがv0.4.45に更新され、CVE-2025-68121に対応しました。

要対応 (1)

• securitycriticalgo 1.25.7への更新

  ツールチェーンの go を 1.25.7 に更新し、CVE-2025-68121 に対応しました。

要対応 (1)

• securityotel/sdk の v1.40.0 への更新

  otel/sdk を v1.40.0 に更新し、以前のバージョンに存在する SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758 に対応します。

要対応 (2)

• securitymediumポリシー適用の不備を修正

  ポリシー適用の不備を修正しました。対象は CVE-2026-24851 と GHSA-jq9f-gm9w-rwm9 で報告されています。

• breakingカスタム grpc_prometheus フォークの置き換え

  カスタム grpc_prometheus フォークを go-grpc-middleware のプロバイダーに置き換えました。このメトリクスからカスタムの grpc_code ラベルを削除しました。