リリース

CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。

緊急度

性格

カテゴリ

2026年6月解除 ×プロジェクト: OpenFGA解除 ×

OpenFGAv1.18.0Security2026年6月17日

v1.18.0は、認証設定とデータベース構成に関わるセキュリティ修正を含むリリースです。利用環境によっては、設定値の見直しやメンテナンス時間を伴う移行計画が必要です。

影響確認 (3)

securitymediumMySQLスキーママイグレーション008の追加
MySQL backendを使用している場合に適用されます。
MySQL backend向けにスキーママイグレーション008を追加しました。このマイグレーションにはメンテナンス時間が必要で、アップグレード前に[オペレーター向けランブック](https://github.com/openfga/openfga/blob/main/assets/migrations/mysql/collation_migrations.md)の確認が必要です。対象となる識別子はCVE-2026-55170およびCVE-2026-55689です。
security事前共有鍵認証の定時間比較
事前共有鍵認証を使用している場合に適用されます。
事前共有鍵認証での比較にcrypto/subtle.ConstantTimeCompareを使うよう修正し、従来のマップ検索によって有効な鍵バイトに関する情報がタイミングサイドチャネルから漏れる可能性を閉じました。
securityOIDC設定でのissuerとaudienceの必須化
authn.methodがoidcに設定されている場合に適用されます。
authn.methodがoidcの場合、authn.oidc.issuerとauthn.oidc.audienceの両方を設定する検証を追加しました。

OpenFGAv1.17.1Security2026年6月5日

このリリースには、Go標準ライブラリの脆弱性に対応するツールチェーンと関連イメージの更新が含まれています。これらの対応を反映するには、リリースのアップグレードが必要です。

要対応 (2)

securityGoツールチェーンの1.26.4への更新
ツールチェーンのGoを1.26.4へ更新し、Go標準ライブラリの脆弱性に対処しました。
securitygrpc-health-probeのv0.4.52への更新
grpc-health-probeをv0.4.52へ更新し、Go 1.26.4で再ビルドしました。リリース済みイメージに、修正済みのGo標準ライブラリの脆弱性を含む状態が残らなくなります。

OpenFGAv1.17.0Security2026年6月2日

OpenFGA v1.17.0では、キャッシュキーの生成方式が変更されています。文字列連結による衝突リスクと、ハッシュフラッディング攻撃への対策に関係する更新です。

要対応 (1)

securityキャッシュキー生成の再設計
キャッシュキーの生成方式を、TLV（type-length-value）バイナリエンコーディングに変更しました。文字列連結による衝突リスクをなくし、プロセスごとのハッシュシードを追加してハッシュフラッディング攻撃を防ぎます。関連する変更は #3148 です。

月別に見る