CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
正確性に関する修正と、公開されたセキュリティ修正を含みます。リポジトリの所有者メタデータも追加されています。
影響確認 (1)
securityTerraform remote configuration loaderの無制限読み取りを防止
Terraform remote configuration loaderを使用している場合に適用されます。
Terraform remote configuration loaderで無制限の読み取りが発生しないよう修正されました。対象はGHSA-fmgp-q6jx-gg3xです。
v1.9.14では、Terraformのリモート設定ローダーで発生するDoSにつながる無制限読み取りが修正されています。対象ローダーを利用している環境では、読み取り範囲や取得時間の制限、パス検証、シンボリックリンク拒否などが適用されます。
影響確認 (1)
securityTerraformリモート設定ローダーの無制限読み取り対策
Terraformのリモート設定ローダーを利用している場合に適用されます。
Terraformのリモート設定ローダーで発生する無制限読み取りを防ぎます。GHSA-fmgp-q6jx-gg3xの修正をrelease-1.へバックポートし、浅い深さ1のクローン、2分間の取得タイムアウト、64 MiBの容量上限とファイル数上限を設けます。通常ファイルとキャッシュ内パスを検証し、シンボリックリンクを拒否します。URLの変更時にはキャッシュを無効化し、読み取りを拒否した場合は後処理でファイルを削除します。
