リリース

影響確認 (1)

• securityRBAC の認可バイパス修正

  RBAC を利用している場合に適用されます。

要対応 (1)

• securitydependabotのセキュリティアラート解消

  dependabotが報告したセキュリティアラートを解消しました。

要対応 (1)

• security未解決の Dependabot セキュリティアラートへの対応

  未解決だった Dependabot のセキュリティアラートに対応しました。

要対応 (2)

• securitycriticalGHSA-3v3m-wc6v-x4x3 のセキュリティ修正

  GHSA-3v3m-wc6v-x4x3 に関するセキュリティ修正が含まれています。

• securitygo バージョンの更新

  go のバージョンが更新され、CVEs の解消が図られています。

要対応 (1)

• securitycriticalGHSA-3v3m-wc6v-x4x3 に対するセキュリティ修正

  GHSA-3v3m-wc6v-x4x3 に識別される脆弱性に対するセキュリティ修正が含まれています。

要対応 (3)

• security機密情報の平文ログ出力への対処

  コードスキャンアラートno. 2992で指摘された、機密情報の平文ログ出力に対処しました。

• securityGetBackupsのディレクトリトラバーサル対策

  ファイルバックアップストレージのGetBackups RPCにおけるディレクトリトラバーサルに対処しました。

• breaking修飾なしの*を含むSELECTの扱い変更

  SELECTリストでカンマの後に修飾なしの*を指定した場合、vtgateが拒否するようになりました。

要対応 (1)

• securityalpine ベースイメージの更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

要対応 (1)

• securityalpine ベースイメージの更新

  セキュリティ上の懸念への対応として、ベースイメージ alpine が alpine:3.23.3 から alpine:3.23.4 に更新されました。

影響確認 (1)

• securityBackstageカタログ関連パッケージのセキュリティ修正

  @backstage/plugin-catalog-backend-module-unprocessed、@backstage/plugin-catalog-unprocessed-entities-common version、または@backstage/plugin-catalog-unprocessed-entitiesを使用している場合に適用されます。

要対応 (3)

• securityhighPyJWT の CVE-2026-32597 対応

  PyJWT の crit ヘッダー検証に関する CVE-2026-32597 を修正しました。

• securityhighpyasn1 の CVE-2026-30922 対応

  pyasn1 の DoS 脆弱性に関する CVE-2026-30922 を修正しました。

• breakingMaxReplicas の必須化

  MaxReplicas が必須の int32 になりました。

要対応 (4)

• securityhigh中間証明書の制限によるCVE-2026-32280対策

  中間証明書の数を制限し、CVE-2026-32280の影響を抑える修正を加えました。

• securityhighGo toolchainの1.26.2への更新

  Go toolchainを1.26.2へ更新し、CVE-2026-32283を修正しました。

• securitymediumgo-tuf/v2のv2.4.1への更新

  go-tuf/v2をv2.4.1へ更新し、CVE-2026-24686を修正しました。

• security標準ライブラリのCVE修正

  標準ライブラリに関するCVEを修正しました。

影響確認 (2)

• securityaws_iid の PKCS7 認証におけるアイデンティティ検証の修正

  aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

• security参加トークンの並行認証処理を修正

  適用対象はリリースノートに明記されていません。

影響確認 (1)

• securityaws_iid の RSA-2048 PKCS7 ノード認証における身元文書検証の修正

  aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

要対応 (1)

• security/connz における bearer JWTs の非開示

  監視エンドポイント /connz が bearer JWTs を開示しなくなりました。

影響確認 (2)

• security/connz監視エンドポイントでのbearer JWT非開示

  /connz監視エンドポイントを使用している場合に適用されます。

• securityコマンドライン引数で渡したrouteとcluster URLシークレットのマスキング

  routeとcluster URLのシークレットをコマンドライン引数として渡す場合に適用されます。

影響確認 (3)

• securityhighAzureAD remote writeのOAuth client_secret露出を修正

  AzureAD remote writeを利用している場合に適用されます。

• securityhighRemote-readの圧縮リクエスト長検証を修正

  Remote-readを利用している場合に適用されます。

• securitymedium旧UIヒートマップチャートのleラベル値処理を修正

  old UI heatmap chartを利用している場合に適用されます。

要対応 (1)

• securityGo ツールチェーンを 1.26.2 に更新

  ツールチェーンの Go を 1.26.2 に更新しました。Go標準ライブラリで報告された脆弱性に対応する更新です。

影響確認 (4)

• securityhighAzureAD remote writeにおけるclient_secret露出の修正

  AzureAD remote writeを利用している場合に適用されます。

• securityhighRemote-readの展開後サイズ検証

  Remote-readを利用している場合に適用されます。

• securitymedium旧UIヒートマップの保存型XSS修正

  UIを利用している場合に適用されます。

• リリースページにあと 1 件

要対応 (1)

• securitycriticalLinux のセキュリティ修正

  Linux に多数のセキュリティ修正が含まれています。対象には、記載された CVE-2023-52435 などのアドバイザリが含まれます。

要対応 (18)

• securitycriticalLinuxの追加セキュリティ修正

  Linuxのセキュリティ修正として、CVE-2026-31411を含む更新が反映されています。

• securityhighcurlのセキュリティ修正

  curlのセキュリティ修正が反映されています。

• securityhighexpatのセキュリティ修正

  expatのセキュリティ修正が反映されています。

• securityhighgnupgのセキュリティ修正

  gnupgのセキュリティ修正が反映されています。

• securityhighgoのセキュリティ修正

  goのセキュリティ修正が反映されています。

• securityhighintel-microcodeのセキュリティ修正

  intel-microcodeのセキュリティ修正が反映されています。

• securityhighlibxsltのセキュリティ修正

  libxsltのセキュリティ修正が反映されています。

• securityhighnvidia-driversのセキュリティ修正

  nvidia-driversのセキュリティ修正が反映されています。

• securityhighopensslのセキュリティ修正

  opensslのセキュリティ修正が反映されています。

• securityhighpamのセキュリティ修正

  pamのセキュリティ修正が反映されています。

• securitymediumbinutilsのセキュリティ修正

  binutilsのセキュリティ修正が反映されています。

• securitymediumcoreutilsのセキュリティ修正

  coreutilsのセキュリティ修正が反映されています。

• securitymediumlibpcre2のセキュリティ修正

  libpcre2のセキュリティ修正が反映されています。

• securitymediumnet-toolsのセキュリティ修正

  net-toolsのセキュリティ修正が反映されています。

• securitylowopensshのセキュリティ修正

  opensshのセキュリティ修正が反映されています。

• securitylibxml2の更新

  libxml2がlibxml2-20250908に更新されています。

• breakingsshdでOpenSSHのデフォルト設定を使用

  sshdの設定からCiphers、MACs、KexAlgorithmsが削除され、OpenSSHの上流デフォルトが使われるようになっています。

• breaking最初のinitrdで利用できるカーネルモジュールの縮小

  最初のinitrdで利用できるカーネルモジュールの数が減っています。

要対応 (1)

• securityrustls-webpkiのセキュリティ更新

  rustls-webpkiのセキュリティ更新として、RUSTSEC-2026-0049に対応しました。

要対応 (1)

• securityGoツールチェーンを1.25.9へ更新

  Goが1.25.9に更新されました。

要対応 (1)

• securityhighnghttp2 の **CVE-2026-27135** 対応

  nghttp2 に **CVE-2026-27135** の修正パッチが適用されました。

要対応 (12)

• securitycriticalCVE-2025-68121の修正

  CVE-2025-68121を修正しました。

• securitycriticalCVE-2026-33186の修正

  CVE-2026-33186を修正しました。

• securityhighCVE-2026-24051の修正

  release 1.16でCVE-2026-24051を修正しました。

• securityhighgithub.com/docker/cliの更新

  github.com/docker/cliを更新し、CVE-2025-15558を解消しました。

• securityhighCVE-2025-66564の修正

  CVE-2025-66564を解消しました。

• securitymediumsigstore/rekor v1.5.1への更新

  sigstore/rekorをv1.5.1に更新し、CVE-2026-23831を修正しました。

• securitymediumgo-tuf/v2 v2.3.1への更新

  go-tuf/v2をv2.3.1に更新し、CVE-2026-23992に対応しました。

• securitymediumCVE-2026-22772の修正

  CVE-2026-22772を修正しました。

• securitymediumgo-tuf/v2 v2.4.1への更新

  go-tuf/v2をv2.4.1に更新し、CVE-2026-24686に対応しました。

• securitylowCVE-2026-1229の修正

  release-1.16でCVE-2026-1229を修正しました。

• securitylowCVE-2026-26958の修正

  CVE-2026-26958を修正しました。

• securitystdlibのCVE修正

  stdlibに関するCVEを修正しました。

要対応 (6)

• securitycriticalCVE-2026-33186 の修正

  CVE-2026-33186 を修正しました。

• securityhighCVE-2026-24051 の修正

  CVE-2026-24051 を修正しました。

• securityhighCVE-2026-34986 の修正

  CVE-2026-34986 を修正しました。

• securitylowCVE-2026-1229 の修正

  CVE-2026-1229 を修正しました。

• securityCVES 2026-15558 の修正

  CVES 2026-15558 を修正しました。

• securitygo の更新による標準ライブラリのCVE修正

  go を更新し、標準ライブラリのCVEを修正しました。

要対応 (1)

• securitycriticalGo 1.26.2への更新と脆弱性修正の取り込み

  Go 1.26.2でビルドされ、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32936、CVE-2026-33190、CVE-2026-33489、CVE-2026-32934、CVE-2026-35579のセキュリティ修正が含まれています。

要対応 (2)

• securityGo依存関係の更新

  報告された脆弱性に対応するため、Go依存関係を更新しました。

• securitygo 1.25.8への更新

  報告された複数の脆弱性に対応するため、goを1.25.8へ更新しました。

影響確認 (2)

• securityhighHTTPProxy の cookieRewritePolicies[].pathRewrite.value によるコード実行脆弱性の修正

  HTTPProxy リソースを使用している場合に該当します。

• breakingEnvoy 1.35.0以降への対応

  Envoy に依存している場合に適用されます。

要対応 (1)

• securityhighCVE-2026-41246のLuaコードインジェクション修正

  CVE-2026-41246（GHSA-x4mj-7f9g-29h4）として報告されたLuaコードインジェクションの脆弱性を修正しました。

影響確認 (1)

• securityhighCookie RewritingのLuaコードインジェクション脆弱性を修正

  cookieRewritePolicies[].pathRewrite.value を設定している場合に適用されます。

要対応 (10)

• securitygithub.com/cloudflare/circl の v1.6.3 への更新

  github.com/cloudflare/circl を v1.6.3 に更新しました。

• securityotlptracehttp の v1.43.0 への更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securitygithub.com/sigstore/cosign/v3 の v3.0.5 への更新

  github.com/sigstore/cosign/v3 を v3.0.5 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新

  github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/docker/cli の v29.2.0+incompatible への更新

  github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securityGo の 1.25.9 への更新

  Go を 1.25.9 に更新しました。

• securitygithub.com/moby/spdystream の v0.5.1 への更新

  github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新

  github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新

  github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

要対応 (10)

• securitygithub.com/cloudflare/circl の v1.6.3 への更新

  セキュリティ対応として、github.com/cloudflare/circl を v1.6.3 に更新しました。

• securitygoogle.golang.org/grpc の v1.79.3 への更新

  セキュリティ対応として、google.golang.org/grpc を v1.79.3 に更新しました。

• securitygo.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp の v1.43.0 への更新

  セキュリティ対応として、go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp を v1.43.0 に更新しました。

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  セキュリティ対応として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

• securityGo 1.25.9 への更新

  セキュリティ対応として、Go を 1.25.9 に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.17.1 への更新

  セキュリティ対応として、github.com/go-git/go-git/v5 を v5.17.1 に更新しました。

• securitygithub.com/moby/spdystream の v0.5.1 への更新

  セキュリティ対応として、github.com/moby/spdystream を v0.5.1 に更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2 の v2.0.6 への更新

  セキュリティ対応として、github.com/sigstore/timestamp-authority/v2 を v2.0.6 に更新しました。

• securitygithub.com/docker/cli の v29.2.0+incompatible への更新

  セキュリティ対応として、github.com/docker/cli を v29.2.0+incompatible に更新しました。

• securitygithub.com/go-git/go-git/v5 の v5.18.0 への更新

  セキュリティ対応として、github.com/go-git/go-git/v5 を v5.18.0 に更新しました。

要対応 (9)

• securitygithub.com/cloudflare/circlをv1.6.3へ更新

  github.com/cloudflare/circlをv1.6.3へ更新しました。

• securityotlptracehttpをv1.43.0へ更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttpをv1.43.0へ更新しました。

• securitygithub.com/go-jose/go-jose/v4をv4.1.4へ更新

  github.com/go-jose/go-jose/v4をv4.1.4へ更新しました。

• securityGo 1.25.9への更新

  Goを1.25.9へ更新しました。

• securitygithub.com/go-git/go-git/v5をv5.17.1へ更新

  github.com/go-git/go-git/v5をv5.17.1へ更新しました。

• securitygithub.com/moby/spdystreamをv0.5.1へ更新

  github.com/moby/spdystreamをv0.5.1へ更新しました。

• securitygithub.com/docker/cliをv29.2.0+incompatibleへ更新

  github.com/docker/cliをv29.2.0+incompatibleへ更新しました。

• securitygithub.com/sigstore/timestamp-authority/v2をv2.0.6へ更新

  github.com/sigstore/timestamp-authority/v2をv2.0.6へ更新しました。

• securitygithub.com/go-git/go-git/v5をv5.18.0へ更新

  github.com/go-git/go-git/v5をv5.18.0へ更新しました。

要対応 (5)

• securitygithub.com/cloudflare/circl を v1.6.3 に更新

  github.com/cloudflare/circl が v1.6.3 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securityOTLPトレースHTTPエクスポーターを v1.43.0 に更新

  go.opentelemetry.io/otel/exporters/otlp/otlptrace/otlptracehttp が v1.43.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securitygithub.com/go-git/go-git/v5 を v5.17.1 に更新

  github.com/go-git/go-git/v5 が v5.17.1 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securitygithub.com/moby/spdystream を v0.5.1 に更新

  github.com/moby/spdystream が v0.5.1 に更新されました。セキュリティ修正を含む依存関係の更新です。

• securitygithub.com/go-git/go-git/v5 を v5.18.0 に更新

  github.com/go-git/go-git/v5 が v5.18.0 に更新されました。セキュリティ修正を含む依存関係の更新です。

要対応 (2)

• securityACLチェックと送信処理で正規化形式を統一

  正規化した形式をACLチェックと外向きのディスパッチの両方で使うようになり、両者の不一致が解消されています。

• securityGoの1.24系CVE対応に伴うバージョン更新

  Goのバージョンが更新され、1.24系のCVEへの対応が行われています。

要対応 (1)

• securityACLチェックと送信処理での正規化形式の統一

  正規化した形式をACLチェックと送信処理の両方で使うようになり、両者の不一致が解消されました。

要対応 (3)

• securityサービス呼び出し時のメソッドパス正規化を統一

  サービス呼び出しの境界でメソッドパスを正規化します。HTTPおよびgRPCの公開API呼び出しではdirectMessaging.Invoke、gRPCの内部呼び出しではcallLocalValidateACL、プロキシ経由の呼び出しではgRPCプロキシハンドラーを使います。正規化後のパスをACLチェックと送信処理の両方に使うため、両者の不一致が解消されました。

• securityメソッドパスの受け入れ条件を変更

  メソッドパスの正規化にpath.Cleanを使い、../や重複したスラッシュを解決します。#、?、ヌルバイト、制御文字を含むメソッドパスは受け付けなくなりました。

• securityACLパス処理からpurell依存関係を削除

  ACLパス処理からpurell依存関係を削除しました。

要対応 (1)

• securitygithub.com/go-jose/go-jose/v4 の v4.1.4 への更新

  セキュリティ対応として、依存モジュール github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

要対応 (2)

• security正規表現の $ 文字のエスケープ

  正規表現内の $ 文字をエスケープし、インジェクションを防ぐ修正です。

• securitygithub.com/go-jose/go-jose/v4 の更新

  セキュリティ関連の依存更新として、github.com/go-jose/go-jose/v4 を v4.1.4 に更新しました。

要対応 (2)

• securitymediumCVE-2026-4366のHTTPリダイレクト処理におけるSSRF修正

  HTTPリダイレクト処理を介したブラインドサーバーサイドリクエストフォージェリ（SSRF）を修正しました。対象はcoreです。

• securitylowCVE-2026-4633のユーザー列挙問題の修正

  identity-first loginでKeycloakユーザーを列挙できる問題を修正しました。対象はcoreです。