# CloudNativePG v1.29.1

> Storage & Data · 2026-05-08

セキュリティを重視した保守リリースで、権限の縮小、複数の CVE 対応、サプライチェーン対策、フェイルオーバーと設定の正確性に関する修正を含みます。監視構成によっては明示的な権限付与が必要で、アップグレードには順序の指定があります。

## 要対応
- **[security · critical]** メトリクスエクスポーターの認証ロールを専用化
  - メトリクスエクスポーターの認証に `postgres` スーパーユーザーを使わず、`pg_monitor` 権限だけを持つ専用ロール `cnpg_metrics_exporter` を使うようになりました。低権限のデータベースユーザーが PostgreSQL のスーパーユーザー権限を得られる経路を閉じています。
- **[security · critical]** `github.com/jackc/pgx/v5` を v5.9.2 に更新
  - `github.com/jackc/pgx/v5` を v5.9.2 に更新しました。`CVE-2026-33816` に関わる `pgproto3` のメモリ安全性問題と、単純プロトコルのドルクォート文字列処理における SQL インジェクション問題 `GHSA-j88v-2chj-qfwx` への修正を取り込んでいます。
- **[security · high]** `Go` 1.26.3 による標準ライブラリの修正取り込み
  - `Go` 1.26.3 でビルドし、`crypto/x509`、`crypto/tls`、`net/http`、`net` に含まれる上流修正を取り込みました。
- **[security · high]** `cmd/go` のモジュールチェックサム検証を修正
  - `Go` 1.26.3 への更新で、`cmd/go` のモジュールチェックサム検証に関する `CVE-2026-42501` にも対応しました。リリースビルド時のサプライチェーンへの露出を抑えています。
- **[security]** `search_path` を利用したオブジェクト隠蔽への対応
  - 未修飾参照は `search_path` に従って解決されます。データベースユーザーが `search_path` を操作して組み込みオブジェクトを隠せる可能性に対応しました。

## 影響確認
- **[security · critical]** カスタム監視クエリに必要な権限付与
  - カスタム監視クエリがユーザー所有テーブルを読み取る場合、または `PUBLIC CONNECT` を取り消したデータベースに対して `target_databases: '*'` を使う場合に適用されます。
  - ユーザー所有テーブルを読むカスタム監視クエリや、`PUBLIC CONNECT` を取り消したデータベースに対する `target_databases: '*'` の利用では、`cnpg_metrics_exporter` への明示的な `GRANT` 文が必要です。

## その他の記録された変更
- 10 (defect_corrected 8, value_changed 2)

[分析の詳細](https://ratatosk.io/ja/releases/cloudnativepg/v1.29.1)

[元のリリースノート](https://github.com/cloudnative-pg/cloudnative-pg/releases/tag/v1.29.1)