リリース

影響確認 (3)

• securityvela-system definitions のアクセス権限を明示的な許可に限定

  vela-system definitions を利用している場合に適用されます。

  名前空間管理者が明示的な権限なしに vela-system definitions へアクセスできないようになりました。

• securityTerraform module remote URLs の認証情報をログ出力・保存から除外

  Terraform module remote URLs を設定している場合に適用されます。

  Terraform module remote URLs に埋め込まれた認証情報をログに出力せず、保存もしないようになりました。

• breakingapplication definitions の未宣言パラメータを検証

  application definitions を利用している場合に適用されます。

  application definitions で宣言されていないパラメータを検証するようになりました。

影響確認 (1)

• securityTerraform remote configuration loaderの無制限読み取りを防止

  Terraform remote configuration loaderを使用している場合に適用されます。

  Terraform remote configuration loaderで無制限の読み取りが発生しないよう修正されました。対象はGHSA-fmgp-q6jx-gg3xです。

影響確認 (1)

• securityTerraformリモート設定ローダーの無制限読み取り対策

  Terraformのリモート設定ローダーを利用している場合に適用されます。

  Terraformのリモート設定ローダーで発生する無制限読み取りを防ぎます。GHSA-fmgp-q6jx-gg3xの修正をrelease-1.9へバックポートし、浅い深さ1のクローン、2分間の取得タイムアウト、64 MiBの容量上限とファイル数上限を設けます。通常ファイルとキャッシュ内パスを検証し、シンボリックリンクを拒否します。URLの変更時にはキャッシュを無効化し、読み取りを拒否した場合は後処理でファイルを削除します。