1.9. 既知の問題

この破壊的変更は、RestEasy Classic で複数の OIDC プロバイダーを使用する場合にのみ関係があり、コンテキストと依存性注入 (CDI) インターセプターを使用して OIDC テナント設定識別子をプログラム的に解決する場合に発生します。

この修正が行われる前は、CDI インターセプターは認証チェックの前に実行されていました。修正を導入すると、CDI インターセプターがトリガーされる前に認証が行われます。したがって、CDI インターセプターを使用して複数の OIDC プロバイダー設定識別子を解決することは、機能しなくなります。RestEasy Reactive アプリケーションへの影響はありません。

詳細は、Quarkus の OpenID Connect (OIDC)マルチテナンシーの使用ガイドの アノテーションによるテナント識別子の解決 セクションを参照してください。

Red Hat ビルドの Quarkus 2.13.x および 3.2 は、ネイティブトランスポートおよび関連する機能をサポートしません。したがって、ネイティブの epoll または io_uring トランスポートの使用と、ネイティブトランスポートを必要とするドメインソケットの使用もサポートされていません。

Red Hat ビルドの Quarkus バージョン 2.13.8.SP2 より前のバージョンでは、セキュリティーの問題 CVE-2023-4853 が存在し、攻撃者がセキュリティーポリシーを完全に回避する可能性があり、承認されていないエンドポイントアクセスやサービス拒否につながる可能性がありました。

パスベースのルールを使用して Quarkus アプリケーションの HTTP エンドポイントをセキュアにした場合は、Quarkus アプリケーションが Red Hat ビルドの Quarkus 2.13.8.SP2 に更新する必要があります。または、Red Hat Product Security Center が提供する回避策オプションに従います。

このセキュリティー問題の詳細と、さまざまな軽減策オプションの詳細は、Red Hat Security Bulletin RHSB-2023-002 の Mitigation セクションを参照してください。

quarkus.http.cors=true
quarkus.http.cors.origins=https://my.org

CVE-2022-4147 quarkus-vertx-http を修正した結果により、同じホストオリジンを許可するように Vert.x HTTP CORS フィルターを設定する必要があります。Quarkus の CORS セキュリティー誤設定：OWASP A05_2021 レベル。

Red Hat は、Red Hat ビルドの Quarkus の今後のリリースで、この要件を緩和するかどうかを評価します。