CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
このリリースでは、CVE 対応としてビルドに関わる依存関係のバージョンが更新されています。依存関係のバージョンを確認している環境に関係する変更です。
要対応 (3)
securityGo 1.25.10 への更新
Go を 1. に更新し、CVE 対応を行いました。
securitygolang. v0.52.0 への更新
golang. を v0. に更新し、CVE 対応を行いました。
securitygolang. v0.55.0 への更新
golang. を v0. に更新し、CVE 対応を行いました。
内部データベースのメジャーバージョン更新、キャッシュバックエンドの置き換え、依存関係とコンポーネントの更新、不具合修正を含むリリースです。セキュリティ関連では、トークンとblob-mountの検証が強化されています。
要対応 (1)
securityblob-mountとトークンの検証を強化
blob-mountのソースプロジェクトを検証し、iatがないトークンを拒否するようになりました。
影響確認 (2)
breaking内部データベースをPostgreSQL 18へ自動更新
PostgreSQLを利用している場合に適用されます。
breakingキャッシュバックエンドをvalkeyへ変更
redisを利用している場合に適用されます。
v2非推奨設定の追加やWebSocket認証の修正に加え、CRL適用回避の修正、Goツールチェーンと依存関係の更新が含まれます。--listen-client-http-urls を設定している環境や更新対象の依存関係を利用している環境では、アップグレードが必要です。
要対応 (2)
securityhighOpenTelemetry依存関係の更新
go. と go. を v1. から v1. に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。
securityhighgolang. の更新
golang. を v0. に更新しました。
影響確認 (1)
securitygRPCリスナーにおけるCRL適用回避の修正
--listen-client-http-urls を設定している場合に適用されます。
gRPCリスナーにおけるCRL適用と、OpenTelemetry依存関係に関するセキュリティ修正を含むリリースです。--listen-client-http-urls の利用状況やOpenTelemetryの依存関係を確認している環境に関係します。
要対応 (1)
securityhighOpenTelemetry依存関係を更新
go. と go. を v1. から v1. に更新し、CVE-2026-29181 と CVE-2026-39883 に対応しました。
影響確認 (1)
securitygRPCリスナーのCRL適用回避を修正
--listen-client-http-urls が設定されている場合に適用されます。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
