セキュリティコア: sys/config/state/sanitized から tls_acme_eab_mac_key の開示を防止する。GHSA-3237-j65r-m5rp 試聴する[GH-4148] core/audit: 認証されていない"Root Token Generation"と"Rekey"エンドポイント (デフォルトで無効になっている) は、監査ログが失敗したとしても応答を返します。GHSA-q74w-hv5x-6hxf について[GH-4148] auth/approle: 秘密IDが有効期限が切れた後 認証に使用できないことを確認する。..
セキュリティコア: sys/config/state/sanitized から tls_acme_eab_mac_key の開示を防止する。GHSA-3237-j65r-m5rp 試聴する[GH-4148] core/audit: 認証されていない"Root Token Generation"と"Rekey"エンドポイント (デフォルトで無効になっている) は、監査ログが失敗したとしても応答を返します。GHSA-q74w-hv5x-6hxf について[GH-4148] auth/approle: 秘密IDが有効期限が切れた後 認証に使用できないことを確認する。..
署名: アレクサンダー・シェール alex.scheel@control-plane.io
SECURITY エージェント、プロキシ: リスナー設定で指定された場合、終了エンドポイントが正しく X-Vault-Request ヘッダを必要とすることを確認します。GHSA-8gmq-wv9h-fcwp 試聴する[GH-4065] auth/cert, auth/kubernetes, auth/userpass, secrets/pki, core/policies, core/workflows: ResolvePathOperation を使用して、カノン化されたリソースのカノン URL を定義する。GHSA-fg5x-7whg-6c28 について[GH-4065] コア/プラグイン。..
SECURITY エージェント、プロキシ: リスナー設定で指定された場合、終了エンドポイントが正しく X-Vault-Request ヘッダを必要とすることを確認します。GHSA-8gmq-wv9h-fcwp 試聴する[GH-4065] auth/cert, auth/kubernetes, auth/userpass, secrets/pki, core/policies, core/workflows: ResolvePathOperation を使用して、カノン化されたリソースのカノン URL を定義する。GHSA-fg5x-7whg-6c28 について[GH-4065] コア/プラグイン。..
バックポート #4064 (クリーン・チェリー・ピック) 署名: ジョナス・コーネン
署名: アレクサンダー・シェール alex.scheel@control-plane.io
機能 外鍵: PKI と Transit の秘密エンジンは、鍵を OpenBao に保存せずに暗号操作を行うために KMS プラグインを使用できます。[GH-3956] /sys/external-keys API を介して HSM または KMS サポートキーのマッピングを設定し、選択マウントへのアクセスを許可します。PKI エンジンを使って外部のプライベートキーで証明書&coにサインします。トランジットエンジンを使って 署名、確認、暗号化。..
署名: ジョナス・コーン jonas.koehnen@sap.com
署名: アレクサンダー・シェール alex.scheel@control-plane.io
署名: アレクサンダー・シェール alex.scheel@control-plane.io
署名: アレクサンダー・シェール alex.scheel@control-plane.io
署名: アレクサンダー・シェール alex.scheel@control-plane.io
署名: アレクサンダー・シェール alex.scheel@control-plane.io
署名: アレクサンダー・シェール alex.scheel@control-plane.io
セキュリティコア: 内部操作タイプがインライン認証やワークフローから送信できないことを確保し、トークン作成を防止する。GHSA-rh46-vc3j-w2w3 について[GH-3831] 秘密/pki: CSRからの IP SAN に allowed_ip_sans_cidr を強制する。GHSA-g892-p242-8g86 について[GH-3833] BUG FIXES コマンド/エージェント: Windows で無条件に失敗するファイルシンクを修正します。[GH-3733]コア: 要求で回復パニックを防ぐ。..
包装/容器の変更: 最大の互換性のために、古い、開かない容器のイメージラベルを削除します。[GH-3504] 改善コア: 明確な無効化ハンドラーのない sys/キーで警告します。 キャッシュを無効にするメカニズムのないログ行を見たら報告してください。[GH-3555] コア/ポリシー:特定のパラメータの値を修正するためのPATCH操作サポートを導入する。[GH-3506] バグ修正。..
署名: ジョナス・コーン jonas.koehnen@sap.com
FEATURES 名前空間のシール: 名前空間の作成にシャミールシール設定を許可する。[GH-3297] 区画 レンタストア 暗号鍵の素材レンタには、他のレンタに影響を及ぼさず、シール操作によって自分の名前空間へのアクセスを撤回することができます。名前空間のシール状態のグローバル同期を使用し、マルチノード展開から管理を容易にする。プラグインを自動解除する。..
また参照: https://openbao.org/docs/concepts/policies/#templated-policies また参照: #3401 (コメント) サインオフ: Alexander Scheel alex.scheel@control-plane.io
FEATURES 名前空間のシール: 名前空間の作成にシャミールシール設定を許可する。[GH-3297] 区画 レンタストア 暗号鍵の素材レンタには、他のレンタに影響を及ぼさず、シール操作によって自分の名前空間へのアクセスを撤回することができます。名前空間のシール状態のグローバル同期を使用し、マルチノード展開から管理を容易にする。プラグインを自動解除する。..
署名: ジョナス・コーン jonas.koehnen@sap.com
署名者:エンリコ・フシ 署名者:ジョナス・コーンネン jonas.koehnen@sap.com 共同執筆者:ジョナス・コーンネン jonas.koehnen@sap.com
署名者:エンリコ・フシ 署名者:ジョナス・コーンネン jonas.koehnen@sap.com 共同執筆者:ジョナス・コーンネン jonas.koehnen@sap.com
署名者:エンリコ・フシ 署名者:ジョナス・コーンネン jonas.koehnen@sap.com 共同執筆者:ジョナス・コーンネン jonas.koehnen@sap.com
署名者:エンリコ・フシ 署名者:ジョナス・コーンネン jonas.koehnen@sap.com 共同執筆者:ジョナス・コーンネン jonas.koehnen@sap.com
署名者:エンリコ・フシ 署名者:ジョナス・コーンネン jonas.koehnen@sap.com 共同執筆者:ジョナス・コーンネン jonas.koehnen@sap.com
署名者:エンリコ・フシ 署名者:ジョナス・コーンネン jonas.koehnen@sap.com 共同執筆者:ジョナス・コーンネン jonas.koehnen@sap.com
SECURITY auth/ldap: DN をグループ解析に結合する経由で不可能な LDAP 結合後注入を防止する。GHSA-6mwx-4547-5vc9 試聴する[GH-3306]秘密/ldap: サービスアカウントの未浄化DNで LDAPの注射を防ぐ。GHSA-6mwx-4547-5vc9 試聴する[GH-3306] 秘密/トランジット: derived=trueで作成された RSA キーでロックされていないmutexのロックを解除したためサーバークラッシュを防ぐ。GHSA-8w8f-r2xv-4q4j 試聴する[GH-3309] コア/リース:...
SECURITY core/auth: Inline auth を使用するときにカスタムヘッダを落とす監査ログを修正します。GHSA-q8cj-789h-vg24 / CVE-2026-46358[GH-3076] core: authプラグインエンドポイントから隠されたデフォルトトークン発行を防止し、論理。Auth{}応答オブジェクトとエラーの両方を返します。GHSA-7j6w-vvw2-5f9c / CVE-2026-46405[GH-3150]コア:古いリースエンドポイントを削除 (sys/revoke,sys/renew,sys/revoke-prefix,およびsys/r...