リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
エージェントバージョンの報告、TLSポリシーの挙動、性能、複数の不具合が更新され、セキュリティ修正も含まれます。セキュリティに関する変更はアップグレードが必要で、その他の修正は該当するデプロイメントを利用している場合を除き情報提供です。
要対応 (1)
securityエージェントレベルでのセレクター記録停止
機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（
#6732）。
影響確認 (1)
securityサーバーTCPエンドポイントのTLSセッションチケット無効化
サーバーのTCPエンドポイントを使用している場合に適用されます。
サーバーのTCPエンドポイントで、TLSセッションチケットの再開により現在の信頼バンドルに対するSPIFFE証明書チェーン検証を回避できる問題を修正しました。サーバー側ではTLSセッションチケットを無効にし、すべての接続で
VerifyPeerCertificateが実行されます（#6715）。
サーバーノードアテスタープラグインで、SSRF攻撃とCPU時間の過剰消費につながる2件の問題が修正されています。
影響確認 (2)
security
http_challengeのSSRF脆弱性を修正http_challengeを利用している場合に適用されます。http_challengeサーバーノードアテスタープラグインで、攻撃者が通常アクセスできないドメインへサーバーを誘導し、spire-serverに認証なしのGETリクエストを送信させる問題を修正しました。spire-serverは応答の先頭64バイトを攻撃者に返していました。security
x509popのCPU時間過剰消費問題を修正x509popを利用している場合に適用されます。x509popサーバーノードアテスタープラグインで、ノードのアテステーション処理中に攻撃者がspire-serverへ過大なCPU時間を消費させる問題を修正しました。
サーバーノードアテスターに関するセキュリティ問題を修正しています。該当するプラグインを運用している環境では、修正版への更新が必要です。
影響確認 (2)
security
http_challengeのSSRF攻撃問題を修正http_challengeサーバーノードアテスタープラグインを使用している場合に該当します。攻撃者がサーバーを通常はアクセスできないドメインへ誘導し、
spire-serverにそのドメインへの認証なしのGETリクエストを送らせ、応答の先頭64バイトを取得できる問題を修正しました。security
x509popのCPU過剰消費問題を修正x509popサーバーノードアテスタープラグインを使用している場合に該当します。ノードのアテステーション処理で、攻撃者が
spire-serverに不釣り合いに大量のCPU時間を消費させられる問題を修正しました。