リリース

要対応 (3)

• securityhighoras.land/oras-go/v2 の更新

  oras.land/oras-go/v2 が 2.6.1 から 2.6.2 に更新され、GHSA-fxhp-mv3v-67qp に対応しました。

• breakingHTTPサーバーの ReadHeaderTimeout 設定

  すべてのHTTPサーバーで ReadHeaderTimeout が 32s に設定されました。

• breaking同名の部分集合ルールと -object ルールの拒否

  部分集合ルールと -object ルールが同じ名前を共有する場合、ast で拒否されるようになりました。

影響確認 (1)

• breakingUser-Agent ヘッダーの形式変更

  サーバー側のログフィルターまたは WAF ルールで旧文字列との完全一致を設定している場合に適用されます。

  User-Agent ヘッダーの値が Open-Policy-Agent/<version> (<os>, <arch>) に変わりました。旧文字列との完全一致を使うサーバー側のログフィルターや WAF ルールは更新が必要です。

要対応 (1)

• breakingHTMLインデックスページのクエリフォーム削除

  v1.16.0では、HTMLインデックスページにあったクエリフォームが削除されました。

影響確認 (1)

• breakingHTTPAuthPluginの認証処理位置の変更

  カスタムのHTTPAuthPlugin実装を使用している場合に適用されます。

  カスタムのHTTPAuthPluginでは動作が変わり、リクエストごとの認証処理はNewClient()ではなくPrepare()に置く契約になりました。

要対応 (1)

• securityhighgo.opentelemetry.io 依存関係のセキュリティ修正

  go.opentelemetry.io の依存関係を更新し、GHSA-9h8m-3fm2-qjrq に対する修正を適用しています。