# Harbor v2.15.3

> Storage & Data · 2026-10-06

脆弱性の修正、依存関係の更新、アップロードおよびログのサイズ制限を含むセキュリティ重視の保守リリースです。あわせて、動作の正確性とログ処理も改善されています。

## 要対応
- **[security]** distribution エンドポイントのパストラバーサル脆弱性の修正
  - distribution エンドポイントにおけるパストラバーサルの脆弱性を修正しました。`GHSA-qj39-pjf2-wmrc` に対応しています。
- **[security]** システムロボットの不正な管理者権限昇格の修正
  - `user:update` 権限を持つシステムロボットがシステム管理者になれる問題を修正しました。`GHSA-w5fq-xrhj-j7g2` に対応しています。
- **[security]** 全プロジェクト対象ロボットの権限付与処理の修正
  - 「すべてのプロジェクト」を対象とするロボットのスコープがグローバルワイルドカードとして扱われ、`robot:update` が付与される問題を修正しました。これにより、プロジェクト間でロボットを乗っ取り、所有者を締め出せる状態を防ぎます。`GHSA-xq2m-cj8w-56v5` に対応しています。
- **[security]** 外部 auth-proxy の `admin` ID による管理者権限継承の修正
  - 外部 auth-proxy の ID が `admin` の場合に Registry のシステム管理者権限を継承する問題を修正しました。`GHSA-xvh7-74g6-29xw` に対応しています。
- **[security]** イミュータブルタグルールの複数セレクター評価の修正
  - イミュータブルタグルールの照合で、複数のリポジトリまたはタグセレクターの先頭だけが評価される問題を修正しました。`GHSA-27f2-qg57-2gwg` に対応しています。
- **[security]** Webhook 配信の SSRF 脆弱性の修正
  - Webhook 配信において、ProjectAdmin が内部サービスやクラウドメタデータエンドポイントへアクセスできる SSRF を修正しました。`GHSA-2phj-cp9f-qq6w` に対応しています。
- **[security]** スキャナー Bearer 認可リクエストの TLS 検証処理の修正
  - スキャナーの Bearer 認可リクエストで TLS 検証が無効化され、レスポンス本文全体を読み込む問題を修正しました。`GHSA-884q-mjcg-86x4` に対応しています。
- **[security]** Jobservice における Webhook エラーレスポンスの展開制限
  - Webhook のエラーレスポンスにより Jobservice で無制限の展開が発生する問題を修正しました。`GHSA-jw3v-7jvc-pfmx` に対応しています。
- **[security]** Registry チャンクアップロードの `Location` ヘッダー検証
  - Registry のチャンクアップロードで、検証されていない `Location` ヘッダーを再利用する問題を修正しました。`GHSA-wjpm-hv5w-gxr6` に対応しています。
- **[security]** `User-Agent` によるプルポリシー回避の修正
  - 攻撃者が制御する `User-Agent` ヘッダーによって、脆弱性および Content-Trust のプルポリシーを回避できる問題を修正しました。`GHSA-wrw5-gmvj-gf23` に対応しています。
- **[security]** レプリケーションクライアントの `Link` ヘッダー処理の修正
  - Registry レプリケーションクライアントで、攻撃者が制御するページネーションの `Link` ヘッダーによる SSRF と認証情報漏えいを修正しました。`GHSA-xgp2-5vxg-rgh2` に対応しています。
- **[security]** `AuthMode` 参照失敗時のセキュリティミドルウェア処理の修正
  - `AuthMode` の参照に失敗した後もセキュリティミドルウェアが処理を継続する問題を修正しました。`GHSA-3x7c-wf86-mjx6` に対応しています。
- **[security]** ロボット名の接頭辞によるプロキシキャッシュポイズニングの防止
  - ロボット名の接頭辞を悪用したプロキシキャッシュポイズニングを防止しました。
- **[security]** CVE 修正に伴う Go 依存関係の更新
  - CVE 修正のため Go 依存関係を更新しました。
- **[breaking]** マニフェストアップロードのサイズ上限
  - マニフェストのアップロードサイズに上限を設けました。
- **[breaking]** 監査ログペイロードのサイズ上限
  - 監査ログのペイロードサイズに上限を設けました。

## 影響確認
- **[security]** スキャナー認証情報フィールドのアクセス制御の修正
  - `scanner_registration.access_cred` が設定されている場合に該当します。
  - `scanner_registration.access_cred` に `filter:"false"` が設定されておらず、プロジェクト管理者がスキャナー認証情報を推測できる問題を修正しました。`GHSA-vwvv-675v-p6rr` に対応しています。

## その他の記録された変更
- 32 (value_changed 24, defect_corrected 6, constraint_changed 2)

[分析の詳細](https://ratatosk.io/ja/releases/harbor/v2.15.3)

[元のリリースノート](https://github.com/goharbor/harbor/releases/tag/v2.15.3)