CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
通常の不具合修正に加え、GOアドバイザリに紐づく依存関係の更新が含まれます。該当する依存関係やアドバイザリを利用する環境では、変更内容が関係します。
要対応 (2)
securitymediumgo. の更新
go. を v1.44.0 に更新し、GO-2026-5158 に対応しています。
securitygoogle. の更新
google. を 1.80.0 から 1.82.1 に更新し、GO-2026-6061 に対応しています。
v3.21.3では、govulncheck で報告された CVE に対応するため、containerd v1 への依存が削除されています。containerd v1 を利用する構成に関係する変更です。
要対応 (1)
securitycontainerd v1 依存の削除
govulncheck で報告された CVE を解消するため、containerd v1 への依存を削除しました。対象の識別子は 037733e7d51b08e30a0233bd546c345ab3ea3bba です。
テンプレートとCLIの機能追加、依存関係の更新、フラグの非推奨化、正確性に関する修正を含みます。プラグインのパストラバーサルと GO-2026-4394 に対応するセキュリティ修正も含まれます。
要対応 (1)
securityhighgo. の v1. への更新
GO-2026-4394 への対応として、go. を v1. に更新しました。
影響確認 (1)
securityPlugin 拡張機能のバージョンパストラバーサル修正
Plugin 拡張機能を使用している場合に該当します。
Plugin 拡張機能におけるバージョンのパストラバーサルを修正しました。
事前準備 (1)
deprecated--hide-notes と --render-subchart-notes の非推奨化
--hide-notes または --render-subchart-notes を使用している場合に該当します。
未使用の --hide-notes と --render-subchart-notes フラグを非推奨にしました。
セキュリティ上の不具合が修正されています。変更履歴の項目は、アドバイザリで案内された修正と重複しています。
影響確認 (1)
securitymediumChart. のドット区切り名による抽出先ディレクトリの崩れ
Helm Chart の抽出を利用している場合に適用されます。
アドバイザリ [GHSA-hr2v-4r36-88hr](https://github.com/helm/helm/security/advisories/GHSA-hr2v-4r36-88hr) に関連する修正です。Chart. の名前に含まれるドット区切りによって、Helm Chart の抽出結果で出力先ディレクトリが崩れる問題が修正されました。
セキュリティ修正を含むため、アップグレードが必要です。プラグイン読み込み時のエラー処理も変更されています。
要対応 (1)
securitymediumGHSA-hr2v-4r36-88hr の修正
GHSA-hr2v-4r36-88hr に関するセキュリティ修正です。
影響確認 (2)
securityhighGHSA-q5jf-9vfq-h4h7 に関するプラグイン検証の修正
プラグインを使用している場合に該当します。
. がない場合にプラグイン検証が失敗扱いにならず、署名のないプラグインをインストールできる問題を修正しました。
securityhighGHSA-vmx8-mqv2-9gmg に関するパス検証の修正
プラグインを使用している場合に該当します。
プラグインメタデータのバージョンに含まれるパストラバーサルにより、Helmのプラグインディレクトリ外へ任意のファイルを書き込める問題を修正しました。
