# Harbor v2.16.0

> Storage & Data · 2026-11-09

マルチアーキテクチャ対応、プロキシキャッシュと API の機能、設定の既定値を拡充した、広範な保守リリースです。正確性の修正、セキュリティ強化、依存関係とツールチェーンの更新、コンポーネントイメージの更新も含まれ、セキュリティ関連の修正が多数あります。

## 要対応
- **[security]** `Trivy` の `v0.69.2` への更新
  - 供給網インシデントを受けて、`Trivy` を `v0.69.2` に更新しました。
- **[security]** `go-jose/go-jose/v4` の `v4.1.4` への更新
  - DoS 脆弱性の修正として、`go-jose/go-jose/v4` を `v4.1.4` に更新しました。
- **[security]** SQL インジェクションの可能性の修正
  - SQL インジェクションの可能性を修正しました。
- **[security]** タイミング脆弱性の修正
  - 理論上のタイミング脆弱性を修正しました。
- **[security]** エラーログでの Redis パスワード露出の防止
  - エラーログに Redis のパスワードが露出しないよう修正しました。
- **[security]** ロボット名接頭辞によるプロキシキャッシュ汚染の防止
  - ロボット名の接頭辞を介したプロキシキャッシュの汚染を防止しました。
- **[security]** `Go modules` の更新
  - 既知の脆弱性を修正するため、`Go modules` を更新しました。
- **[security]** 脆弱な `npm` 依存関係の更新
  - 脆弱性が残る `npm` 依存関係を更新しました。
- **[security]** `Angular` パッケージの更新
  - 既知の脆弱性を修正するため、`Angular` パッケージを更新しました。
- **[security]** デバッグログでの認証情報とシークレットの記録防止
  - デバッグログに認証情報やシークレットが記録されないようにしました。
- **[security]** 空のシークレットの拒否
  - 認証バイパスを防ぐため、空のシークレットを拒否するようにしました。
- **[security]** `Go` 依存関係の更新
  - `CVE` を修正するため、`Go` の依存関係を更新しました。
- **[breaking]** 設定監査ログのペイロード除外
  - 設定監査ログからペイロードを除外しました。
- **[breaking]** プロジェクト作成前の Bearer トークンの拒否
  - プロジェクト作成前に発行された Bearer トークンを拒否するようにしました。
- **[breaking]** `PIP_INDEX_URL` の既定値変更
  - `PIP_INDEX_URL` の既定値を `https://pypi.org/simple` に変更しました。
- **[breaking]** `iat` のないトークンの拒否
  - `iat` クレームがないトークンを拒否するようにしました。
- **[breaking]** 一時的な `SBOM` 権限上書きの削除
  - 一時的な `SBOM` 権限の上書きを削除しました。
- **[breaking]** マニフェストアップロードのサイズ上限
  - マニフェストのアップロードにサイズ上限を設けました。
- **[breaking]** 監査ログペイロードのサイズ上限
  - 監査ログのペイロードにサイズ上限を設けました。
- **[breaking]** プライベートネットワークアクセスの既定許可
  - プライベートネットワークへのアクセスを既定で許可するようにしました。
- **[breaking]** レガシー署名者によるプルの既定許可
  - レガシー署名者によるプルを既定で許可するようにしました。

## 影響確認
- **[breaking]** `GC` 追加属性での `redis_url_reg` の伏せ字化
  - `redis_url_reg` を設定している場合に該当します。
  - `GC` の追加属性で `redis_url_reg` を伏せ字にしました。
- **[breaking]** 空の `robot_name_prefix` の禁止
  - `robot_name_prefix` を設定している場合に該当します。
  - 空の `robot_name_prefix` を指定できないようにしました。
- **[breaking]** `/registries/ping` の対象 URL 制限
  - 既存のレジストリの場合に該当します。
  - `/registries/ping` を、保存済みの URL に対してのみ実行するよう制限しました。

## その他の記録された変更
- 181 (defect_corrected 80, value_changed 72, added 15, constraint_changed 8, removed 4, renamed 2)

[分析の詳細](https://ratatosk.io/ja/releases/harbor/v2.16.0)

[元のリリースノート](https://github.com/goharbor/harbor/releases/tag/v2.16.0)