リリース

影響確認 (2)

• securitycriticalバックアップ復元時のPath Traversal対策

  バックアップストレージを使用している場合に該当します。

  バックアップストレージへの書き込み権限を持つ者が、MANIFESTの変更によって復元先ディレクトリから抜け出し、任意のファイルシステムパスにファイルを書き込めるPath Traversal攻撃を防ぐようになりました。CVE-2026-27969およびGHSA-r492-hjgh-c9gwに関する修正です。

• securityhigh復元時の外部デコンプレッサーコマンドの既定動作変更

  外部デコンプレッサーコマンドを使用し、--external-decompressor-use-manifestを指定していない場合に該当します。

  バックアップのMANIFESTファイルに保存された外部デコンプレッサーコマンドは、復元時に既定では使用されなくなりました。CVE-2026-27965およびGHSA-8g8j-r87h-p36xに関する修正です。

影響確認 (2)

• securityMANIFESTからの圧縮コマンド読み込みをオプトイン化

  --external-decompressor-use-manifestを使用している場合に適用されます。

  リストア時にMANIFESTから圧縮コマンドを読み込む動作が、明示的なオプトイン方式になりました。

• securitybackupengineのMANIFEST経由のパストラバーサルを阻止

  backupengineが実行される場合に適用されます。

  リストア時にバックアップのMANIFESTを介したパストラバーサルを許可しないようになりました。

要対応 (1)

• securitygolang.org/x/crypto の更新

  golang.org/x/crypto を 0.42.0 から 0.45.0 に更新しました。