リリース

gRPC 1.82.0はCore、PHP、Python、Rubyにわたる細かな修正を積み重ねたルーチンリリースで、セキュリティ問題や破壊的変更はありません。目立つのはxDSの2つのプロトコル追加(A85のORCA-to-LRS、A114の重み付けラウンドロビン)と、細々としたバグ修正の集合です。

Harbor v2.15.2は、2.15.0の修正群とセキュリティ強化をバックポートしたメンテナンスパッチです。blob-mountトークン検証の強化とcrypto/SMTP周りの整理に加え、キャッシュバックエンドをRedisからValkeyに置き換え、Angular/Clarityアップグレードに伴う多数のUI修正も含みます。

• securityblob-mountトークン検証の強化

  blob-mount実行時に、ソースプロジェクトの検証とiatクレームを持たないトークンの拒否が追加されました。トークン検証の抜け穴を突いた不正なblobマウントを防ぐ修正です。v2.15.2への更新を推奨します。

• securitycrypto実装の強化とSMTPパッケージ削除

  暗号処理の実装が見直され、使われていないSMTPパッケージが削除されました。深刻度は低めですが、攻撃面の縮小につながる修正です。

• breakingキャッシュバックエンドをRedisからValkeyへ変更

  キャッシュバックエンドがRedisからValkeyに置き換わりました。デプロイ構成やコンテナイメージでRedisを直接参照している場合は、Valkeyへの切り替えを確認してください。

• breakingYAMLライブラリの置き換え

  YAML処理ライブラリがgopkg.in/yaml.v2からgithub.com/goccy/go-yamlに置き換わりました。カスタムビルドやフォークでこの依存に直接触れている場合は影響を確認してください。

• breakingregistryソースタグを安定版v2.8.3-harbor.1に変更

  registryコンポーネントの参照がrc.5からv2.8.3-harbor.1の安定タグに変更されました。ビルドパイプラインでバージョン文字列を固定参照している場合は更新が必要です。

CRI-O v1.36.2は、gomaxprocsフックのCPU割り当て計算を修正する通常のパッチリリースです。Goスケジューラがスロットリングされる問題を軽減します。セキュリティ修正や破壊的変更はありません。

CRI-O v1.34.10はバグ修正のみのパッチで、gomaxprocsのCPU注入ロジックの修正と、再起動後のコンテナステータスにおけるImageRef形式のリグレッション修正の2件が含まれます。セキュリティ、API、設定の変更はありません。

etcd v3.6.13は、--listen-client-http-urlsを設定しているクラスタのgRPCリスナーでCRL検証がバイパスされるHIGH深刻度の脆弱性(GHSA-3wh4-j44w-pg92)を修正するセキュリティパッチです。WebSocketのbearerトークン認証の修正と、v2-deprecationフラグへのオプション追加も含まれます。

• securitygRPCリスナーのCRL検証バイパス(GHSA-3wh4-j44w-pg92)を修正

  --listen-client-http-urlsを設定しているクラスタでは、gRPCリスナーで証明書失効リスト(CRL)の検証がスキップされており、失効済みのクライアント証明書でも認証が通ってしまいます。v3.6.13へ更新してください。

etcd v3.5.32は、--listen-client-http-urlsを設定した際にgRPCリスナーでCRLが適用されなかったHIGH深刻度の脆弱性(GHSA-3wh4-j44w-pg92)を修正するセキュリティリリースです。v2-deprecationのバイパスオプション追加やいくつかのバグ修正も含まれます。

• securitygRPCリスナーのCRL適用バイパス(GHSA-3wh4-j44w-pg92)

  --listen-client-http-urlsを設定している場合、gRPCリスナーでCRLが適用されず、失効した証明書が受け入れられる状態でした。mTLSと証明書失効リストを併用している環境では、v3.5.32へ更新してください。

Prometheus v3.13.0はLTSリリースで、HIGH深刻度の認証情報転送の脆弱性(CVE-2025-4673・CVE-2023-45289)とMEDIUM深刻度のXSS(CVE-2026-44990)への対応を筆頭に、ページネーショントークン、パス解決、PromQL期間関数名、ライセンスファイル配布の4つの破壊的変更、さらに多数の新機能とパフォーマンス改善を含みます。

• securityHIGH: クロスホストリダイレクト時に認証情報が転送されなくなった

  リダイレクト先のホストが異なる場合、Authorizationヘッダー・Basic認証・Bearerトークン・OAuth2・カスタムヘッダーなどの認証情報が転送されなくなりました。スクレイプ・リモートread/write・アラート送信・サービスディスカバリのいずれも対象です。CVE-2025-4673とCVE-2023-45289として追跡されており、prometheus/commonのv0.68.xからv0.69.0への更新が起因です。クロスホストリダイレクトに依存するエンドポイントがあれば、認証情報がサイレントに落ちることを確認してください。

• securityMEDIUM: UI依存ライブラリのXSS修正(CVE-2026-44990)

  UIのsanitize-htmlライブラリにXSS脆弱性(CVE-2026-44990)が存在していたため、バージョンを更新して修正しました。設定変更は不要で、v3.13.0へのアップグレードで対処されます。

• breakingページネーショントークンのアルゴリズムがSHA-1からSHA-256に変更

  ルールグループのページネーショントークン生成がSHA-1からSHA-256に変わりました。旧バージョンで取得したトークンを保持・比較しているクライアントやツールは、アップグレード後に値が変わります。

• breaking--http.config.fileの相対パス解決先が変更

  --http.config.fileに渡すファイル内の相対パスが、親ディレクトリではなくそのconfigファイル自身のディレクトリを基準に解決されるようになりました。相対パスを使っている場合は、アップグレード後にパスが正しく解決されるか確認してください。

• breaking期間表現関数min()/max()がmin_of()/max_of()に改名

  experimental-duration-exprフィーチャーフラグを有効にしている場合、PromQLの期間表現関数min()とmax()がmin_of()とmax_of()に改名されました。これらを使用しているクエリやルールを更新してください。

• breakingnpm_licenses.tar.bz2を廃止、ライセンスは/assets/third-party-licenses.txtへ移行

  リリースtarballおよびコンテナイメージからnpm_licenses.tar.bz2が削除されました。サードパーティnpmライセンス情報はバイナリに埋め込まれ、/assets/third-party-licenses.txtで提供されます。このアーカイブを展開している自動化処理があれば修正が必要です。

Longhorn v1.11.3は、ボリューム操作・バックアップ・インスタンス管理にまたがる十数件の安定性問題を修正するバグフィックスロールアップです。CSI external provisionerがv6.3.0へ更新されたため、v1.10.xまたはv1.11.0からアップグレードする場合はKubernetes v1.34以降が前提条件となります。

• breakingv1.10.xまたはv1.11.0からのアップグレード時にKubernetes v1.34+が必要

  CSI external provisionerがv6.3.0に更新されたため、Longhorn v1.10.xまたはv1.11.0からアップグレードする場合はKubernetes v1.34以降が必要です。クラスタのKubernetesバージョンを先にv1.34+へ更新してからLonghornをアップグレードしてください。

Istio 1.28.10は単一のバグ修正を含むルーティンパッチです。krtコントローラフレームワークで、Fetchフィルターのキー変更時に古い逆引きインデックスエントリが残り続けるメモリリークを修正しました。