# Kubescape v4.0.21

> Security · 2026-11-13

スキャン、修正、ポリシー、レポートの機能が広がり、正確性やRBAC、依存関係、スキャン結果に関する改善が加わっています。ファイル読み込みの制限や検証、匿名化、分析処理の見直しなど、セキュリティ面の強化も含まれます。

## 要対応
- **[security]** `Helm`テンプレートファイル読み込みの制限
  - `Helm`テンプレートファイルの読み込みに上限と検証を設け、`CWE-400`につながる過剰な読み込みを防ぎます。
- **[security]** `Kustomization`ファイル読み込みの制限
  - `Kustomization`ファイルの読み込みに上限と検証を設け、`CWE-400`につながる過剰な読み込みを防ぎます。
- **[security]** `Terraform`ファイル読み込みの制限
  - `Terraform`ファイルの読み込みに上限と検証を設け、`CWE-400`によるサービス拒否を防ぎます。
- **[security]** アーティファクトファイル読み込みの制限
  - `setUseArtifactsFrom`で読み込むアーティファクトファイルに上限と検証を設け、`CWE-400`につながる過剰な読み込みを防ぎます。
- **[security]** 無視ファイル読み込みの制限
  - `LoadIgnoreFilePatterns`で読み込む無視ファイルに上限と検証を設け、`CWE-400`につながる過剰な読み込みを防ぎます。
- **[security]** レポートファイル読み込みの制限
  - レポートファイルの読み込みに上限と検証を設け、`CWE-400`によるサービス拒否を防ぎます。
- **[security]** マニフェストファイル読み込みの制限
  - `GetFileString`で読み込むマニフェストファイルに上限と検証を設け、`CWE-400`につながる過剰な読み込みを防ぎます。
- **[security]** マニフェスト読み込みとファイル種別の検証
  - `applyFileChanges`と`readManifest`でのマニフェスト読み込みに上限を設け、通常ファイル以外の入力を拒否します。`CWE-400`にも対応します。
- **[security]** ポリシーファイル読み込みの制限
  - ポリシーファイルの読み込みに上限と検証を設け、`CWE-400`によるサービス拒否を防ぎます。
- **[security]** 例外ファイル読み込みの制限
  - 例外ファイルの読み込みに上限と検証を設け、`CWE-400`によるサービス拒否を防ぎます。
- **[security]** YAMLマニフェストのデコードとファイル検証
  - `NewPathLocationResolver`でのYAMLマニフェストのデコード量に上限を設け、通常ファイルであることも検証します。`CWE-400`に対応します。
- **[security]** テストケースファイル読み込みの制限
  - テストケースファイルの読み込みに上限と検証を設け、`CWE-400`につながる過剰な読み込みを防ぎます。
- **[security]** ワークロードマニフェスト読み込みの制限
  - ワークロードマニフェストの読み込みに上限と検証を設け、`CWE-400`によるサービス拒否を防ぎます。
- **[security]** カスタムルールファイル読み込みの制限
  - カスタムルールファイルの読み込みに上限と検証を設け、`CWE-400`によるサービス拒否を防ぎます。
- **[security]** イメージ依存関係と`Go toolchain`の更新
  - 脆弱性のあるイメージ依存関係と`Go toolchain`を更新します。
- **[breaking]** `Cluster`プレフィックスのフォールバック削除
  - `Cluster`プレフィックスを使うフォールバックを削除します。

## 影響確認
- **[breaking]** ロール書き換えの許可におけるバインディングパスの必須化
  - ロール書き換えの許可を処理する場合に適用されます。
  - ロール書き換えの許可を処理する場合に適用されます。ロール書き換えの許可にバインディングパスを必須にします。
- **[breaking]** フリートのドライラン拒否
  - `--dry-run`でフリートのドライランを実行する場合に適用されます。
  - `--dry-run`でフリートのドライランを実行する場合に適用されます。フリートのドライランを拒否します。
- **[breaking]** リモートGitリポジトリのデフォルトをシャロークローンに変更
  - リモートGitリポジトリを使用する場合に適用されます。
  - リモートGitリポジトリを使用する場合に適用されます。リモートGitリポジトリをデフォルトでシャロークローンします。

## その他の記録された変更
- 103 (defect_corrected 86, added 14, value_changed 2, constraint_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/kubescape/v4.0.21)

[元のリリースノート](https://github.com/kubescape/kubescape/releases/tag/v4.0.21)