セキュリティ上の告知を受け、Ceph のアップグレードが案内されています。rook mgr module の無効化に加え、CephX キーのフォールバックに失敗した際は実際のエラーを報告するよう改善されています。
影響確認 (2)
security
CVE-2025–30156に伴うCephのアップグレード案内Cephに依存している場合に適用されます。breaking
rook mgr moduleの無効化rook mgr moduleを有効にしている場合に適用されます。
リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
セキュリティ対応として、Ceph の更新に関する注意喚起があり、CVE-2025–30156 が示されています。rook mgr module が無効化され、CephCluster と CephX のエラー報告動作にも変更が加えられています。
要対応 (1)
breaking
rook mgr moduleの無効化rook mgr moduleが無効化されました。
影響確認 (1)
security
CephのCVE-2025–30156に関する注意喚起Cephを使用している場合に適用されます。
レガシーなV2 linked-cloneボリュームの扱いが変わり、Kubernetes v1.以降が必要です。内部通信のネットワークポリシーとmTLSの適用範囲が広がり、V2やバックアップなどに関する不具合も修正されています。
影響確認 (6)
breaking内部向け
NetworkPolicyのデフォルト有効化クラスタで
NetworkPolicyプロバイダーを利用できる場合に該当します。breakingクロスネームスペースのPrometheus通信に関する制約
クロスネームスペースのPrometheusスクレーパーを使用している場合に該当します。
breakinginstance-manager gRPCサービス全体へのmTLS適用
longhorn-grpc-tlsシークレットを設定している場合に該当します。- リリースページにあと 3 件
事前準備 (1)
deprecatedレガシーV2 linked-cloneボリュームの非推奨化
v1.以前に作成されたV2の12. 0 linked-cloneボリュームを使用している場合に該当します。
設定項目やリソース管理機能の追加に加え、max_ts の無効な更新に対する既定の扱いが変わり、依存関係も更新されています。正確性、メモリ使用量、安定性に関する修正も含まれています。
要対応 (1)
securityサードパーティ依存関係の更新
TiKV8.5向けに、脆弱性のあるサードパーティ依存関係を更新しました。上流に合わせて互換性に必要な修正も取り込んでいます。
影響確認 (1)
breaking無効な
max_ts更新を既定で拒否storage.を設定していない場合に適用されます。max-ts. action-on-invalid-update
内部データベースのメジャーバージョン更新、キャッシュバックエンドの置き換え、依存関係とコンポーネントの更新、不具合修正を含むリリースです。セキュリティ関連では、トークンとblob-mountの検証が強化されています。
要対応 (1)
security
blob-mountとトークンの検証を強化blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。
影響確認 (2)
breaking内部データベースを
PostgreSQL 18へ自動更新PostgreSQLを利用している場合に適用されます。breakingキャッシュバックエンドを
valkeyへ変更redisを利用している場合に適用されます。
v2.5.0では、運用時の機能やプロキシ、ダウンロードの挙動が変更され、非推奨APIの削除と正確性に関する修正も行われています。セキュリティ脆弱性やアドバイザリの開示はありません。
要対応 (1)
breakingヘルスチェックの
/healthyへの統合ヘルスチェックが
/healthyエンドポイントに統合されました。
影響確認 (1)
breaking非推奨の
V1preheat APIエンドポイントの削除非推奨の
V1preheat APIエンドポイントを利用している場合に適用されます。
主に不具合修正を含むリリースで、セキュリティ修正とGoツールチェーンの依存関係更新があります。通常の正確性に関する修正ではオペレーターの対応は不要ですが、セキュリティ修正にはアップグレードが必要です。
影響確認 (2)
security
static grpc auth pluginのパスワード比較を定時間化static grpc auth pluginを使用している場合に該当します。security
twopcz handlerの反射フォーム値をエスケープtwopcz handlerを使用している場合に該当します。
オペレーター向けの設定と動作が変わり、デフォルト値の変更や古いリソースの削除が含まれます。セキュリティアドバイザリの記載はなく、golang. の依存関係更新にもセキュリティ上の理由は示されていません。
影響確認 (2)
breaking古い
MDS and RGW pdbsの削除MDS and RGW pdbsを設定している場合に適用されます。breaking
csi-addonsのデフォルト無効化csi-addonsを有効にしている場合に適用されます。
保守と機能拡張を中心に、設定や既定動作の変更、削除、運用上の前提や制限を含むリリースです。多数の不具合修正も含まれますが、セキュリティアドバイザリや明示的な脆弱性の報告はありません。
影響確認 (5)
breaking
V2 Backing Imagesの削除V2 Backing Imagesを利用している場合に該当します。breaking
data-engine-cpu-maskのデフォルト値変更data-engine-cpu-maskを設定していない場合に該当します。breaking旧CLI APIバージョンのengine imageにおけるライブマイグレーション制限
CLI APIのバージョンが12未満のengine imageを使用している場合に該当します。
- リリースページにあと 2 件
バグ修正に加え、互換性や動作の変更、Go依存関係の更新、メトリクスの追加と削除、運用面の改善が含まれます。セキュリティアドバイザリや、セキュリティに明確に関係する修正は開示されていません。
要対応 (2)
breaking
SELECTリスト内の修飾なし*を拒否vtgateは、SELECTリストでコンマの後に修飾なしの*が続く場合、そのクエリを拒否するようになりました。breaking
sqlparserの単独*制限を文法に適用sqlparserの文法で、単独の*に対する制限が適用されるようになりました。
影響確認 (1)
breaking
EmergencyReparentShardのレプリケーション停止エラーの送信元を限定EmergencyReparentShardを使用している場合に適用されます。
新しい機能の追加と既存機能の保守、動作の正確性や依存関係の更新を含むリリースです。設定のデフォルト値やバックアップ処理、削除・非推奨となったインターフェースを確認する必要があり、セキュリティ修正と外部圧縮解除処理の強化も含まれます。
要対応 (3)
security機密情報の平文ログ出力への対処
コードスキャンアラート
no.で指摘された、機密情報の平文ログ出力に対処しました。2992 security
GetBackupsのディレクトリトラバーサル対策ファイルバックアップストレージの
GetBackupsRPCにおけるディレクトリトラバーサルに対処しました。breaking修飾なしの
*を含むSELECTの扱い変更SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。
影響確認 (12)
security
MANIFESTからの圧縮解除コマンド読み込み変更適用対象はリリースノートに明記されていません。
securityバックアップ
MANIFESTを介した外部コマンド実行の制限バックアップストレージを使用している場合に適用されます。
security
backupengineのパストラバーサル対策backupengineが実行される場合に適用されます。- リリースページにあと 9 件
事前準備 (4)
deprecated
glogの非推奨化v25で削除予定glogを使用している場合に適用されます。deprecatedOpenTracingバックエンドの非推奨化v25で削除予定
opentracing-jaegerまたはopentracing-datadogを使用している場合に適用されます。deprecatedVTOrc Snapshot Topology機能の非推奨化v25で削除予定
--snapshot-topology-intervalを設定している場合に適用されます。- リリースページにあと 1 件
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された
bearer tokensの拒否プロジェクト作成前に発行された
bearer tokensは拒否されるようになりました。breaking
webhook event check用harbor IPのポート9443削除webhook event check用のharbor IPからポート9443が削除されました。
影響確認 (2)
breaking
pull-through cacheからproxy cacheへの変更Harborで
pull-through cacheを使用している場合に適用されます。breaking
GCR replicationの削除Harborで
GCR replicationを使用している場合に適用されます。
2026年8月20日 – 2026年3月10日古い →