CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
このリリースでは、開示された依存関係の脆弱性に対応しています。PromQL の SIGBUS クラッシュ修正と、関連する推移的依存関係の更新も含まれています。
要対応 (2)
securityhighgolang. の v0.39.0 への更新
golang. を v0.38.0 から v0.39.0 へ更新し、CVE-2026-56852 に対応しました。
securityhighgoogle. の v1.82.1 への更新
google. を v1.81.1 から v1.82.1 へ更新し、GHSA-hrxh-6v49-42gf に対応しました。
UIで使用する sanitize-html の更新を含むリリースです。CVE-2026-53606 の修正が反映されています。
要対応 (1)
securitymediumsanitize-html の更新
UIで使用する sanitize-html を v2.17.5 に更新し、CVE-2026-53606 を修正しました。
セキュリティ関連の依存関係更新と挙動変更を含み、PromQL、配布アーティファクト、APIや設定の扱いが変わります。性能改善と不具合修正も含まれるため、これらの機能や運用箇所を利用している環境に関係するリリースです。
要対応 (2)
securitycriticalsanitize-htmlの更新
UIで使用するsanitize-htmlを更新し、クロスサイトスクリプティングの脆弱性CVE-2026-44990を修正しました。
breakingサードパーティライセンスの提供方法を変更
サードパーティ製npm依存関係のライセンスをPrometheusバイナリに埋め込み、/assets/third-party-licenses.で提供する形に変更しました。リリースのtarballとコンテナイメージに収録していたnpm_licenses.は置き換えられています。
影響確認 (2)
securitymedium別ホストへのリダイレクト時に認証情報を転送しない挙動
スクレイピング、リモート読み取りまたは書き込み、アラート、サービスディスカバリのいずれかを利用している場合に適用されます。
別ホストへのリダイレクトに従う際、Authorizationヘッダー、Basic認証、Bearerトークン、OAuth2、設定済みヘッダーの認証情報を転送しなくなりました。この変更はprometheus/common v0.に由来し、CVE-2025-4673とCVE-2023-45289に関連します。
breakingPromQL期間式関数の改名
experimental-duration-exprを有効にしてmin()またはmax()を使用している場合に適用されます。
実験的機能フラグexperimental-duration-exprで使用する期間式関数を、min()からmin_of()へ、max()からmax_of()へ改名しました。集約演算子のminおよびmaxとの混同を避けるための変更です。
v3. は、シークレット露出の修正と依存関係の更新を含むセキュリティ対応リリースです。コンテナイメージは ghcr. にも公開されるようになりました。
要対応 (2)
securitycriticalgolang. と OpenTelemetry の更新
golang. を v0. に、OpenTelemetry を v1. に更新し、報告された GO-2026-5026、GO-2026-4918、GO-2026-4985 に対応しました。
securityUI依存関係のセキュリティ修正版への更新
UIの依存関係である react-router-dom、vitest、vite、postcss を修正版へ更新し、セキュリティアドバイザリに対応しました。
影響確認 (1)
security/-/config でのシークレット平文露出の修正
/-/config エンドポイントにアクセスする場合に適用されます。
/-/config エンドポイントを通じてシークレットが平文で露出する問題を修正しました。関連するアドバイザリは GHSA-39j6-789q-qxvh です。
運用者向けのAPIや連携機能、設定項目、UI機能が追加され、既存機能の検証や制約も見直されています。セキュリティ上の問題への修正に加え、正確性の修正と性能改善も含まれています。
要対応 (1)
breakingfgprofプロファイルの同時実行を拒否
APIでfgprofプロファイルを同時に実行した場合、その実行を拒否するようになりました。
影響確認 (3)
securityRemote Writeの32MB超過リクエストを拒否
Remote Writeを使用している場合に適用されます。
Remote Writeで受信したsnappy圧縮リクエストについて、宣言された展開後のサイズが32MBを超える場合は拒否します。
securitySTACKIT SDの平文シークレット公開を修正
STACKIT SDを使用している場合に適用されます。
STACKIT SDで、/-/configエンドポイントを介してシークレットが平文で公開される問題を修正しました。関連する識別子はGHSA-39j6-789q-qxvhです。
breakinggzipエンコードされたOTLP本文のサイズ制限
OTLPを使用している場合に適用されます。
OTLPのgzipエンコードされた書き込みリクエストについて、展開後の本文サイズを制限するように修正しました。
セキュリティ上の不具合を、勧告識別子付きで修正しています。該当する機能を利用している場合は、このリリースへの更新が対応事項です。
影響確認 (3)
securityhighAzureAD remote writeのOAuth client_secret露出を修正
AzureAD remote writeを利用している場合に適用されます。
AzureAD remote writeで、OAuthのclient_secretが/-/configエンドポイントから平文で露出する問題を修正しました。GHSA-wg65-39gg-5wfj、CVE-2026-42151、#18590に関連します。
securityhighRemote-readの圧縮リクエスト長検証を修正
Remote-readを利用している場合に適用されます。
Remote-readで、展開後の長さがデコード上限を超えると申告されたsnappy圧縮リクエストを拒否するよう修正しました。GHSA-8rm2-7qqf-34qm、CVE-2026-42154、#18584に関連します。
securitymedium旧UIヒートマップチャートのleラベル値処理を修正
old UI heatmap chartを利用している場合に適用されます。
旧UIのヒートマップチャートで、目盛りラベルに含まれるleラベル値をエスケープせずに扱うことで発生するstored XSSを修正しました。GHSA-fw8g-cg8f-9j28に関連します。
運用者向けのセキュリティ修正を含み、公開状態になっていた秘密情報と保存型XSSを修正しています。リモートの読み書きリクエストでは、展開後サイズが上限を超えるデータを拒否する検証が強化されています。
影響確認 (4)
securityhighAzureAD remote writeにおけるclient_secret露出の修正
AzureAD remote writeを利用している場合に適用されます。
AzureAD remote writeの/-/configエンドポイントで、OAuthのclient_secretが平文で露出していた問題を修正しました。関連する識別子はGHSA-wg65-39gg-5wfjとCVE-2026-42151です。
securityhighRemote-readの展開後サイズ検証
Remote-readを利用している場合に適用されます。
Remote-readでは、snappy圧縮リクエストの申告された展開後の長さが展開上限を超える場合、そのリクエストを拒否するようになりました。関連する識別子はGHSA-8rm2-7qqf-34qmとCVE-2026-42154です。
securitymedium旧UIヒートマップの保存型XSS修正
UIを利用している場合に適用されます。
旧UIのヒートマップチャートの目盛りラベルで、エスケープされていないleラベル値を介して発生する保存型XSSを修正しました。関連する識別子はGHSA-fw8g-cg8f-9j28です。
Prometheus v3.11.2には、Web UIに関わるセキュリティ修正が含まれます。Web UIを利用している環境では、メトリクス名とラベルの扱いに関する変更が該当します。
影響確認 (1)
securitymediumWeb UIの保存型XSS修正
PrometheusのWeb UIを使用している場合に該当します。
エスケープされていないメトリクス名とラベルを介した保存型XSSを修正しました。対象となる識別子は CVE-2026-40179 です。
Prometheus v3.5.2 には、Web UI に表示されるメトリクス名やラベル値に関する修正が含まれます。メトリクス名やラベル値を UI で扱う構成では、このリリースの変更が関係します。
影響確認 (1)
securitymediumPrometheus web UI の Stored XSS 修正
細工されたメトリクス名やラベル値が Prometheus web UI に届く場合に適用されます。
細工されたメトリクス名やラベル値がツールチップやメトリクスエクスプローラーに表示される際の Stored XSS を修正しました。エスケープされていなかったメトリクス名とラベルを処理し、CVE-2026-40179 に対応しています。
