# Vitess v24.0.5

> Storage & Data · 2026-10-13

SQLの解析、認可、接続処理に関する制約が強化されたメンテナンスリリースです。利用している設定や機能によっては、受け付けられなくなった値への対応や権限設定の見直しが必要です。

## 要対応
- **[security]** グローバル `SET` 変数名の処理を修正
  - グローバルな `SET` 変数名を介したSQLインジェクションを修正しました。`GHSA-m282-7w35-g77m` に対応しています。
- **[security]** 日時リテラルの処理を修正
  - `DATE`、`TIME`、`TIMESTAMP` リテラルを介したSQLインジェクションを修正しました。`GHSA-9248-hccp-qf8f` に対応しています。
- **[security]** `SET_VAR` ヒントのセッション変数値を修正
  - `SET_VAR` ヒントに含まれるセッション変数値を介したSQLインジェクションを修正しました。`GHSA-9rx3-8pwm-c228` に対応しています。
- **[security]** 不正な数値バインド変数の処理を修正
  - 不正な形式の数値バインド変数を介したSQLインジェクションを修正しました。`GHSA-xf67-9r78-xv82` に対応しています。
- **[breaking]** 空の名前を持つSQL指定を拒否
  - 空の文字セット名、照合順序名、エンジン名、パーティション用テーブルスペース名を拒否します。対象は `CHARACTER SET`、`COLLATE`、`ENGINE`、`TABLESPACE` です。

## 影響確認
- **[security]** MySQL接続文字セットの受け付け範囲を制限
  - `--db-charset` を設定している場合に適用されます。
  - `--db-charset` など、MySQL接続の文字セットを設定する箇所で、`sjis`、`cp932`、`gb18030`、`gbk`、`big5`、`ucs2`、`utf16`、`utf16le`、`utf32` を受け付けなくなりました。`GHSA-c28j-qmfx-4gxp` に対応しています。
- **[security]** `VExplain` に `execute` アクションを要求
  - `VExplain` を使用し、`execute` を設定していない場合に適用されます。
  - 対象のモードでは、`VExplain` リソースに新しい `execute` アクションが必要になりました。`GHSA-c2r8-grjp-w8c8` に対応しています。
- **[security]** `VStream` の `LastPK` 値に起因するSQLインジェクションを修正
  - `VStream` を実行している場合に適用されます。
  - `VStream` の `LastPK` 値を介したSQLインジェクションを修正しました。`GHSA-73pp-99vw-h5g8` に対応しています。
- **[security]** `VStream` フィルターの `convert_tz()` 引数を修正
  - `VStream` を実行している場合に適用されます。
  - `VStream` のフィルターで `convert_tz()` 引数を介してSQLインジェクションが発生する問題を修正しました。`GHSA-92cc-q2h6-m2vr` に対応しています。
- **[security]** Online DDLのテーブル名処理を修正
  - `Online DDL` を実行している場合に適用されます。
  - Online DDL文のテーブル名を介したSQLインジェクションを修正しました。`GHSA-8w3p-4xg5-rm9w` に対応しています。
- **[security]** クエリー注釈の caller ID 処理を修正
  - `--queryserver-config-annotate-queries` を有効にしている場合に適用されます。
  - クエリー注釈の caller ID を介したSQLインジェクションを修正しました。対象は `--queryserver-config-annotate-queries` です。`GHSA-x56j-8c72-5xgg` に対応しています。
- **[security]** 末尾コメントによるテーブルACLチェック回避を修正
  - `table ACL` チェックを使用している場合に適用されます。
  - 末尾コメント内に隠されたSQLが解析とテーブルACLチェックを回避する問題を修正しました。`GHSA-pfg5-ppc7-ff45` に対応しています。
- **[security]** `VTAdmin` の状態変更APIに対するクロスサイト `GET` を修正
  - `VTAdmin` を実行している場合に適用されます。
  - クラスタ状態を変更する `VTAdmin` APIルートが、クロスサイトの `GET` リクエストを受け付けていた問題を修正しました。`GHSA-3fr2-mqr5-r5x5` に対応しています。
- **[security]** `ReloadSchemaShard` のRBACチェックを修正
  - `VTAdmin` を実行している場合に適用されます。
  - `VTAdmin` の `ReloadSchemaShard` でRBACチェックが行われていなかった問題を修正しました。`GHSA-78h7-x6qm-xpr8` に対応しています。
- **[breaking]** `IGNORE_SPACE` と `HIGH_NOT_PRECEDENCE` の拒否
  - `sql_mode` を設定している場合に適用されます。
  - `sql_mode` で `IGNORE_SPACE` と `HIGH_NOT_PRECEDENCE` も拒否されます。

## その他の記録された変更
- 15 (value_changed 7, constraint_changed 4, default_changed 2, defect_corrected 2)

[分析の詳細](https://ratatosk.io/ja/releases/vitess/v24.0.5)

[元のリリースノート](https://github.com/vitessio/vitess/releases/tag/v24.0.5)