リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
v1.15.1は、OPAをGoモジュールとして利用し、独自のLogger実装を組み込む際のビルドに影響した、互換性のないLoggerインターフェース変更を修正するリリースです。バイナリとDockerイメージの動作に変更はありません。
原文 ↗
このリリースでは、不具合の修正と依存関係の更新が行われています。google. の脆弱性については、スキャナーによる報告以外の詳細は公開されていません。
要対応 (1)
security
google.の更新golang. org/grpc スキャナーが報告した脆弱性への対応として、
google.を更新しました。この脆弱性はgolang. org/grpc cert-managerには影響しないものの、スキャナーの報告を受けて更新されています。
運用時の互換性に関わる変更に加え、CVEに対応する依存関係の更新、複数の不具合修正、新しいサービス機能とアーキテクチャ対応が含まれます。Helm chartや設定を利用している環境では、既存の運用方法に影響する変更があります。
要対応 (1)
security依存関係とPythonインタープリターを更新
CVEを解消するため、多数の依存関係とPythonインタープリターが更新されました。
影響確認 (6)
breakingカスタムエラーレスポンスとヘッダーケース変更機能の削除
Ambassador Edge Stackのカスタムエラーレスポンスまたはヘッダーケース変更機能を使用している場合に適用されます。
breakingHelm chartとEmissaryのバージョン番号を統一
Helm chartを使用している場合に適用されます。
breakingHelm chartの配布先を
GHCRに限定EmissaryのHelm chartを使用している場合に適用されます。
- リリースページにあと 3 件
v1.15.0では、カスタムのHTTPAuthPlugin実装における認証処理の配置が変わりました。該当する実装では、リクエストごとの処理をNewClient()からPrepare()へ移す契約になっています。
影響確認 (1)
breaking
HTTPAuthPluginの認証処理位置の変更カスタムの
HTTPAuthPlugin実装を使用している場合に適用されます。
このリリースでは、依存関係の更新によって既知のCVEへの対応が行われています。該当する依存関係を利用している環境に関係する変更です。
要対応 (2)
securitycritical
google.の更新golang. org/grpc google.の依存関係が、CVE-2026-33186 を解消するバージョンへ更新されました。golang. org/grpc securitymedium
golang.の更新org/x/image golang.が v0.25.0 から v0.38.0 に更新され、CVE-2026-33809 が解消されました。org/x/image
インストール用スクリプトの扱いが変わり、GoツールチェーンとJSON-RPC依存関係が更新されています。ダッシュボードとWebhookの不具合が修正され、GoおよびUIパッケージには脆弱性修正が含まれています。
要対応 (2)
security
goパッケージの更新脆弱性を修正するため、
goパッケージを更新しました。security
uiパッケージの更新脆弱性を修正するため、
uiパッケージを更新しました。
影響確認 (1)
breaking
install.の削除sh install.を使用している場合に該当します。sh
事前準備 (1)
deprecated
install.の非推奨化sh install.を使用している場合に該当します。sh
運用者向けの機能追加と保守変更を含むリリースです。APIや挙動、依存関係、非推奨化と削除に加え、監視、CRD検出、feature gate、スケジューリング、セキュリティ関連の挙動も更新されています。アップグレード時は記録ルール名や監視、設定への影響を確認する必要がありますが、セキュリティアドバイザリや明示的な脆弱性の報告はありません。
影響確認 (7)
breaking
virt-controller ClusterRoleの取得権限削除適用対象はリリースノートに明記されていません。
breaking一時停止中のVMIに対する停止要求の拒否
一時停止中のVMIを実行している場合に該当します。
breaking
EnableVirtioFsConfigVolumesのGA移行EnableVirtioFsConfigVolumesfeature gate を使用している場合に該当します。- リリースページにあと 4 件
事前準備 (4)
deprecated
DisableMDEVConfigurationfeature gate の非推奨化削除時期は未定DisableMDEVConfigurationfeature gate を使用している場合に該当します。deprecatedVMI移行データメトリクスの名称変更
kubevirt_vmi_migration_data_total_bytesメトリクスを使用している場合に該当します。deprecated
MultiArchitecturefeature gate の非推奨化MultiArchitecturefeature gate を使用している場合に該当します。- リリースページにあと 1 件
セキュリティ修正に加え、運用者の対応が必要になる権限や利用条件の変更、依存関係マニフェストの記載が含まれます。通常の正確性修正と改善も行われています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
#7960に対応しています。
影響確認 (13)
securityhigh
MQTTに関する脆弱性の修正MQTTを利用している場合に適用されます。securityhigh
leafnodesに関する脆弱性の修正leafnodesを利用している場合に適用されます。securityhighコマンドラインで渡す認証情報に関する脆弱性の修正
コマンドラインで認証情報を渡している場合に適用されます。
- リリースページにあと 10 件
開示済みのCVE識別子に関するセキュリティ修正に加え、正確性の修正、検証と権限制約の強化が含まれています。依存関係とツールチェーンも更新されています。
要対応 (1)
breakingJWTのサイズ上限を1MBに変更
JWTのサイズ上限を1MBに設定しました。
影響確認 (11)
securityhigh
MQTTに関するCVE-2026-33216、CVE-2026-33217、CVE-2026-33215の修正MQTTを利用している場合に適用されます。securityhigh
leafnodesに関するCVE-2026-33218の修正leafnodesを利用している場合に適用されます。securityhighコマンドラインの認証情報に関するCVE-2026-33247の修正
コマンドラインで認証情報を設定している場合に適用されます。
- リリースページにあと 8 件
セキュリティ対応の依存関係更新と、例示マニフェストの設定変更が含まれます。互換性テストの対象はKubernetes 1.32から1.34です。
要対応 (2)
securitycritical
google.をv1.79.3へ更新golang. org/grpc google.をv1.79.3へ更新しました。この更新はCVE-2026-33186（GHSA-p77j-4mvh-x3m3）に対応しますが、Contourは影響を受けません。golang. org/grpc security
Envoyをv1.35.9へ更新セキュリティ脆弱性への対応として、
Envoyをv1.35.9へ更新しました。
影響確認 (1)
breaking例示マニフェストの
hostPort: 8002を削除例示マニフェストで
hostPortを使用している場合に適用されます。
依存関係の更新とサンプルマニフェストの変更を含むリリースです。Kubernetes 1.31から1.33でテストされており、運用者向けに単独の変更を伴わない見出しもあります。
要対応 (2)
securitycritical
google.をgolang. org/grpc v1.に更新79. 3 google.をgolang. org/grpc v1.に更新します。この更新はCVE-2026-33186に対処していますが、Contourは影響を受けません。79. 3 security
Envoyをv1.に更新34. 13 Envoyをv1.に更新し、セキュリティ上の脆弱性に対処するとともに安定性を改善します。34. 13
影響確認 (1)
breakingサンプルマニフェストの
hostPort: 8002を削除hostPort: 8002をサンプルマニフェストで設定している場合に適用されます。
依存関係の更新と、example manifestsの設定変更を含むリリースです。Kubernetes 1.30から1.32までの範囲でテストされています。
要対応 (2)
securitycritical
google.のgolang. org/grpc v1.への更新79. 3 google.をgolang. org/grpc v1.へ更新します。この更新にはCVE-2026-33186への対応が含まれますが、Contourは影響を受けません。79. 3 security
Envoyのv1.への更新34. 13 Envoyをv1.へ更新します。34. 13
影響確認 (1)
breakingexample manifestsからのEnvoyメトリクス設定削除
example manifestsで
hostPort: 8002を使用している場合に適用されます。
運用に関係する不具合修正に加え、新しい設定項目や診断機能、依存関係とイメージの更新が含まれます。セキュリティに関わる修正が2件あり、該当する環境ではアップグレードが必要です。非推奨化や削除の告知はありません。
影響確認 (2)
security
envoy管理ソケットのアクセス範囲を修正envoyを実行している場合に適用されます。security
local backendsに対するingress policiesの適用を修正ingress policiesとlocal backendsを使用している場合に適用されます。
v2.0.0では、CRDの配置先が/crdsに変わりました。依存関係のロックファイルも更新され、RUSTSEC-2026-0007への対応が含まれています。
要対応 (2)
securitymedium
RUSTSEC-2026-0007に対応するロックファイル更新依存関係のロックファイルを更新し、
RUSTSEC-2026-0007に対応しました。breakingCRDの配置先を
/crdsへ変更CRDの配置先を
templates/crdsから/crdsへ移しました。
ベンダー中立なAPIと、ユーザーが制御する移行フローを導入し、プレビュー段階のDynamic Zones対応、イメージとHelmの配布先変更、依存関係の更新を含みます。多くは追加または段階的な変更ですが、APIの移行やレジストリの変更には運用計画や対応が必要になる場合があります。
影響確認 (2)
breakingHelmリポジトリの
OCI化Helmを使用している場合に該当します。
breakingベンダー中立なAPIグループへの切り替え
k8gb.を使用している場合に該当します。absa. oss/v1beta1
バージョン管理、対応する Kubernetes と PSS の構成、インストール動作、同梱コンポーネントのバージョンが変わります。Kubernetes 1.の要件と Pod Security enforcement の既定値変更を除き、アップグレード後に追加の設定変更は必要ありません。
要対応 (1)
breakingPod Security enforcement の既定値変更
Pod Security enforcement の既定値が
baselineに変わります。
影響確認 (1)
breaking対応する
KubernetesバージョンKubernetes1.を使用している場合に適用されます。34+
認可回避の修正と、脆弱性に対応した依存関係およびツールチェーンの更新を含むリリースです。正確性に関する修正も含まれますが、オペレーターの設定変更や非推奨化の告知はありません。
要対応 (4)
securitycritical
google.を 1.79.3 に更新golang. org/grpc google.を 1.79.3 に更新し、CVE-2026-33186 に対応しました。golang. org/grpc securityhigh複数 API の認可回避を修正
etcd serverの複数の API で発生していた認可回避を修正しました。CVE-2026-33413 および GHSA-q8m4-xhhv-38mg に対応しています。securityhigh
go.を v1.40.0 に更新opentelemetry. io/otel/sdk go.を v1.40.0 に更新しました。opentelemetry. io/otel/sdk GO-2026-4394に対応しています。securityhigh
golang.を v0.51.0 に更新org/x/net golang.を v0.51.0 に更新し、org/x/net GO-2026-4559に対応しました。
影響確認 (1)
securitylowネストしたトランザクションの
RBAC認可チェックを修正ネストした
etcdトランザクションとRBACを使用している場合に該当します。
通常の不具合修正に加え、公開済みのセキュリティ修正とセキュリティ対応の依存関係更新が含まれます。対応はアップグレードで行え、運用者による再設定は明示的に必要とされていません。
要対応 (3)
securitycritical
google.をgolang. org/grpc 1.に更新79. 3 CVE-2026-33186 に対応するため、
google.をgolang. org/grpc 1.に更新しました。79. 3 securityhigh
go.をopentelemetry. io/otel/sdk v1.に更新40. 0 GO-2026-4394に対応するため、go.をopentelemetry. io/otel/sdk v1.に更新しました。40. 0 securityhigh
golang.をorg/x/net v0.に更新51. 0 GO-2026-4559に対応するため、golang.をorg/x/net v0.に更新しました。51. 0
影響確認 (2)
securityhigh未認証エンドポイントの認証チェックを強化
未認証エンドポイントを使用している場合に適用されます。
securitylowネストしたトランザクション操作の認証チェックを強化
ネストしたトランザクション操作を使用している場合に適用されます。
認証チェックの適用により、APIとネストしたトランザクション操作に関わる認可バイパスが修正されています。依存関係も更新されているため、セキュリティ対応を確認している運用環境に関係するリリースです。
要対応 (4)
securitycritical
google.をgolang. org/grpc 1.へ更新79. 3 google.をgolang. org/grpc 1.へ更新し、CVE-2026-33186の問題に対応しました。79. 3 securityhigh未認証エンドポイントの認証チェック
認証されていないエンドポイントに認証チェックを適用し、複数のAPIで発生していた認可バイパスを修正しました。対象はCVE-2026-33413およびGHSA-q8m4-xhhv-38mgです。
securityhigh
golang.をorg/x/net v0.へ更新51. 0 golang.をorg/x/net v0.へ更新し、51. 0 GO-2026-4559の問題に対応しました。securitylowネストしたトランザクション操作のRBAC認可チェック
ネストしたetcdトランザクション操作でも認証チェックを強制し、RBACの認可チェックを回避できる問題を修正しました。対象はCVE-2026-33343およびGHSA-rfx7-8w68-q57qです。
レジストリ、キャッシュ、署名、プロファイリング、設定、互換性に関する機能が追加され、依存関係や基盤コンポーネントの更新、各種不具合の修正も含まれています。GCRレプリケーションの削除とプロキシキャッシュの動作変更があるため、これらを利用している環境では影響を確認してください。アドバイザリ識別子は提供されていません。
要対応 (2)
securityプロジェクト作成前に発行された
bearer tokensの拒否プロジェクト作成前に発行された
bearer tokensは拒否されるようになりました。breaking
webhook event check用harbor IPのポート9443削除webhook event check用のharbor IPからポート9443が削除されました。
影響確認 (2)
breaking
pull-through cacheからproxy cacheへの変更Harborで
pull-through cacheを使用している場合に適用されます。breaking
GCR replicationの削除Harborで
GCR replicationを使用している場合に適用されます。
