リリース
CNCF graduated・incubatingプロジェクトのリリースノートのAI分析。
複数の運用者向け機能が追加され、動作や対応入力も変更されています。既存の運用機能は非推奨化されておらず、セキュリティ関連では依存関係の移行も行われています。
要対応 (2)
securityDocker依存関係のMoby移行
github.の依存関係をcom/docker/docker github.相当へ移行し、CVEを解消しました。com/moby/moby breakingヘルスチェックのRPCメトリクス出力停止
Agentのヘルスチェックで行うループバック呼び出しは、
RPCメトリクスを出力しなくなり、メトリクスのノイズが減りました。
影響確認 (1)
breakingdelegated APIのJWT-SVID提供対象変更
管理用エントリまたは下流エントリに対して
delegated APIを使用している場合に適用されます。delegated APIは、管理用エントリまたは下流エントリ向けにJWT-SVIDを提供しなくなりました。
Azure IMDSを使うノードアテーションの文書検証が見直されました。azure_imdsサーバーノードアテスタープラグインを利用する環境が対象です。
影響確認 (1)
security
azure_imdsのノードアテーション文書検証を修正azure_imdsサーバーノードアテスタープラグインを使用している場合に適用されます。PKCS7の証明書バッグに含まれる最初の証明書を信頼済みAzureルートに対して検証する一方、署名はPKCS7のSignerInfoから解決した別の署名者証明書で検証していました。この不整合を修正し、正規のAzureメタデータ証明書と無関係な証明書による署名を組み合わせた偽造文書が受け入れられないようにしました。
このリリースでは、Azure IMDS のノード認証における証明書検証の問題が修正されています。Go ツールチェーンと3つの依存関係も更新されています。
影響確認 (1)
security
azure_imdsのノード証明書検証の修正サーバーのノードアテスター・プラグイン
azure_imdsを使用している場合に適用されます。azure_imdsのサーバー・ノードアテスターで、証明書バッグ内の最初の証明書を信頼済み Azure ルートに基づいて検証する一方、署名はPKCS7のSignerInfoから解決した別の署名者証明書で検証していました。この不一致を悪用すると、攻撃者は正規の Azure メタデータ証明書と無関係な証明書で署名した内容を同じバッグに入れ、偽造した証明書付き文書を受け入れさせて、任意の仮想マシンになりすませました。検証時に証明書と署名者の対応が一致するよう修正されています。
セキュリティ上の脆弱性を修正したリリースです。運用環境では更新が推奨されます。
影響確認 (2)
security
aws_iidのPKCS7認証におけるアイデンティティ検証の修正aws_iidサーバーノードアテスタープラグインを使用している場合に適用されます。aws_iidのサーバーノードアテスターで、RSA-2048 PKCS7の認証経路が埋め込みコンテンツに対してPKCS7署名を検証した後、認証データ内の攻撃者が制御できる別フィールドから読み取ったアイデンティティドキュメントを返していました。任意のEC2インスタンスを制御できる攻撃者が別のインスタンスになりすまし、その偽造されたアイデンティティに基づいて後続の認証判定が行われる問題を修正しました。security参加トークンの並行認証処理を修正
適用対象はリリースノートに明記されていません。
join token data storeの処理で、同じトークンを使った認証が並行して実行されると、tx.が削除対象の行がなかったことを報告しないため、複数の認証が成功するDelete() TOCTOU問題を修正しました。行ロック付きのread-modify-writeトランザクションを使い、削除された行が必ず1件だけであることを検証します。
ノード認証時の身元確認に関わる問題を修正したリリースです。aws_iid サーバーノードアテスタープラグインを利用している環境が対象です。
影響確認 (1)
security
aws_iidのRSA-2048PKCS7ノード認証における身元文書検証の修正aws_iidサーバーノードアテスタープラグインを使用している場合に適用されます。aws_iidサーバーノードアテスターで、RSA-2048のPKCS7認証経路が署名を埋め込みコンテンツに対して検証する一方、認証データ内の攻撃者が制御できる別フィールドから身元文書を読み取っていた問題を修正しました。これにより、任意のEC2インスタンスを制御する攻撃者が、ノード認証中に別のEC2インスタンスになりすまし、後続の認証判断に偽の身元情報が使われる状態が解消されます。
このリリースでは、Goのバージョンが更新されています。複数の公開済みCVEへの対応を含むため、Goのバージョンを確認する環境に関係します。
要対応 (1)
securitycritical
Go1.への更新26. 2 Goを1.へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-33810、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しました。26. 2
このリリースでは、Goの更新により複数のCVEに対応しています。Goを1.へ更新する内容です。
要対応 (1)
securitycritical
Go1.25.9への更新Goを1.へ更新し、CVE-2026-32282、CVE-2026-32289、CVE-2026-27144、CVE-2026-27143、CVE-2026-32288、CVE-2026-32283、CVE-2026-27140、CVE-2026-32281に対応しています。25. 9
エージェントバージョンの報告、TLSポリシーの挙動、性能、複数の不具合が更新され、セキュリティ修正も含まれます。セキュリティに関する変更はアップグレードが必要で、その他の修正は該当するデプロイメントを利用している場合を除き情報提供です。
要対応 (1)
securityエージェントレベルでのセレクター記録停止
機密情報が漏えいする可能性を避けるため、エージェントレベルでセレクターをログに記録しなくなりました（
#6732）。
影響確認 (1)
securityサーバーTCPエンドポイントのTLSセッションチケット無効化
サーバーのTCPエンドポイントを使用している場合に適用されます。
サーバーのTCPエンドポイントで、TLSセッションチケットの再開により現在の信頼バンドルに対するSPIFFE証明書チェーン検証を回避できる問題を修正しました。サーバー側ではTLSセッションチケットを無効にし、すべての接続で
VerifyPeerCertificateが実行されます（#6715）。
サーバーノードアテスタープラグインで、SSRF攻撃とCPU時間の過剰消費につながる2件の問題が修正されています。
影響確認 (2)
security
http_challengeのSSRF脆弱性を修正http_challengeを利用している場合に適用されます。http_challengeサーバーノードアテスタープラグインで、攻撃者が通常アクセスできないドメインへサーバーを誘導し、spire-serverに認証なしのGETリクエストを送信させる問題を修正しました。spire-serverは応答の先頭64バイトを攻撃者に返していました。security
x509popのCPU時間過剰消費問題を修正x509popを利用している場合に適用されます。x509popサーバーノードアテスタープラグインで、ノードのアテステーション処理中に攻撃者がspire-serverへ過大なCPU時間を消費させる問題を修正しました。
サーバーノードアテスターに関するセキュリティ問題を修正しています。該当するプラグインを運用している環境では、修正版への更新が必要です。
影響確認 (2)
security
http_challengeのSSRF攻撃問題を修正http_challengeサーバーノードアテスタープラグインを使用している場合に該当します。攻撃者がサーバーを通常はアクセスできないドメインへ誘導し、
spire-serverにそのドメインへの認証なしのGETリクエストを送らせ、応答の先頭64バイトを取得できる問題を修正しました。security
x509popのCPU過剰消費問題を修正x509popサーバーノードアテスタープラグインを使用している場合に該当します。ノードのアテステーション処理で、攻撃者が
spire-serverに不釣り合いに大量のCPU時間を消費させられる問題を修正しました。