リリースノート


Red Hat Developer Hub 1.4

Red Hat Developer Hub 1.4 のリリースノート

Red Hat Customer Content Services

概要

Red Hat Developer Hub は、開発者ポータルを構築するための開発者プラットフォームです。このドキュメントには、Red Hat Developer Hub 1.4 のリリースノートが記載されています。

はじめに

Red Hat Developer Hub 1.4 は、Red Hat カスタマーポータル または Ecosystem Catalog から一般提供されるようになりました。

Developer Hub は、アップストリームの Backstage 1.32.6 の完全にサポートされたエンタープライズグレードの製品化バージョンです。

第1章 新機能

このセクションでは、Red Hat Developer Hub 1.4 の新機能を説明します。

1.1. 個別の mountPath を追加

この更新により、追加の ConfigMap または Secret 用の個別の mountPath が追加されました。

1.2. PersistentVolumeClaims のサポートが利用可能に

この更新により、PersistentVolumeClaims (PVC) のサポートが利用可能になりました。

1.3. kube-rbac-proxyの使用の強化

この更新により、kube-rbac-proxy サイドカーコンテナーが RHDH Operator Pod から削除されます。このサイドカーコンテナーにより、Operator メトリクスエンドポイントが保護されていました。しかし、主要なコンテナーがこの機能をそのまま提供するようになりました。このサイドカーコンテナーを削除すると、Operator の実行に必要なリソースを減らすことができます。

1.4. developerHub.flavor フィールドを使用したプラグインの Backstage フレーバーの識別

この更新により、以下の例のように、developerHub.flavor フィールドを使用して、プラグインが RHDH、RHTAP、または vanilla Backstage で実行されているかを識別できるようになりました。

developerhub.flavor フィールドを含む app-config.yaml フラグメント

developerHub:
  flavor: <flavor>

flavor
実行中の Backstage のフレーバーを特定します。デフォルト値: rhdh

1.5. RHDH Operator の永続ボリューム要求 (PVC) 管理機能

RHDH Operator の設定中に、spec.application.extraFiles.pvcs フィールドを使用して、事前に作成された PersistentVolumeClaim (PVC) からディレクトリーをマウントできるようになりました。詳細は、Operator を使用する場合の Red Hat Developer Hub デプロイメントの設定 を参照してください。

1.6. Red Hat build of Keycloak (RHBK) による認証

With this update, you can use Red Hat Build of Keycloak as an authentication provider.Keycloak プラグインは、Red Hat Build of Keycloak を使用したユーザーおよびグループの取り込みをサポートするようになりました。詳細は、Red Hat Build of Keycloak による認証 を参照してください。

1.7. RHDH にサードパーティープラグインをインストールする機能

RHDH アプリケーションを再構築せずに、Red Hat Developer Hub にサードパーティーのプラグインをインストールできるようになりました。

詳細は、Red Hat Developer Hub にサードパーティープラグインをインストールする を参照してください。

1.8. カタログバックエンドモジュールログプラグインが有効化されている

この更新により、backstage-plugin-catalog-backend-module-logs が有効になり、パフォーマンスと安定性を向上させる静的プラグインに変換されます。バージョン 1.3 では、動的プラグインが無効になりました。

1.9. Google Kubernetes Engine がサポートされるようになる

Google Kubernetes Engine (GKE) は開発者プレビューではなくなり、RHDH 1.4 の時点で完全にサポートされるようになりました。

ライフサイクルページ で、サポート対象のプラットフォームの一覧を参照してください。

1.10. 動的プラグインのインストール時に同時書き込みを管理する

以前は、書き込みの競合が発生する可能性があるため、動的プラグインキャッシュ用の永続ボリュームを使用してマルチレプリカ RHDH を実行することはできませんでした。この更新により、そのリスクが軽減されます。

第2章 互換性を失わせる変更点

このセクションでは、Red Hat Developer Hub 1.4 の重大な変更点を記載しています。

2.1. モニタリングおよびロギングメトリクスの更新

prom-client メトリクスが削除され、OpenTelemetry メトリクスに置き換えられました。その結果、メトリクスポートが 7007 から 9464 に変更になりました。非推奨となったメトリクスも削除されました。これらに依存している場合、prometheus クエリーが更新されていることを確認します。詳細は、モニタリングとロギング を参照してください。

関連情報

2.2. スコープが更新されたプラグイン

RHDH 1.3 から 1.4 にアップグレードするには、新しいスコープから次のプラグインの最新バージョンを使用するように設定を更新する必要があります。

この更新により、以前は @janus-idp スコープの下にあった以下のプラグインが、@backstage-community スコープに移動されました。

Expand

RHDH 1.3 プラグイン名

RHDH 1.4 プラグイン名

@janus-idp/backstage-plugin-acr

@backstage-community/plugin-acr

@janus-idp/backstage-plugin-acr

@backstage-community/plugin-acr

@janus-idp/backstage-plugin-analytics-provider-segment

@backstage-community/プラグイン分析プロバイダーセグメント

@janus-idp/backstage-plugin-jfrog-artifactory

@backstage-community/plugin-jfrog-artifactory

@janus-idp/backstage-plugin-keycloak-backend

@backstage-community/plugin-catalog-backend-module-keycloak

@janus-idp/backstage-plugin-nexus-repository-manager

@backstage-community/plugin-nexus-repository-manager

@janus-idp/backstage-plugin-ocm

@backstage-community/plugin-ocm

@janus-idp/backstage-plugin-ocm-backend

@backstage-community/plugin-ocm-backend

@janus-idp/backstage-plugin-quay

@backstage-community/plugin-quay

@janus-idp/backstage-plugin-rbac

@backstage-community/plugin-rbac

@janus-idp/backstage-plugin-tekton

@backstage-community/plugin-tekton

@janus-idp/backstage-plugin-topology

@backstage-community/plugin-topology

@janus-idp/backstage-scaffolder-backend-module-quay

@backstage-community/plugin-scaffolder-backend-module-quay

@janus-idp/backstage-scaffolder-backend-module-regex

@backstage-community/plugin-scaffolder-backend-module-regex

@janus-idp/backstage-scaffolder-backend-module-servicenow

@backstage-community/plugin-scaffolder-backend-module-servicenow

@janus-idp/backstage-scaffolder-backend-module-sonarqube

@backstage-community/plugin-scaffolder-backend-module-sonarqube

以前は @backstage スコープの下にあった以下のプラグインが、@backstage-community スコープに移動されました。

Expand

RHDH 1.3 プラグイン名

RHDH 1.4 プラグイン名

@backstage/plugin-azure-devops

@backstage-community/plugin-azure-devops

@backstage/plugin-azure-devops-backend

@backstage-community/plugin-azure-devops-backend

@backstage/plugin-dynatrace

@backstage-community/plugin-dynatrace

@backstage/plugin-github-actions

@backstage-community/plugin-github-actions

@backstage/plugin-github-issues

@backstage-community/plugin-github-issues

@backstage/plugin-jenkins

@backstage-community/plugin-jenkins

@backstage/plugin-jenkins-backend

@backstage-community/plugin-jenkins-backend

@backstage/plugin-lighthouse

@backstage-community/plugin-lighthouse

@backstage/plugin-sonarqube

@backstage-community/plugin-sonarqube

@backstage/plugin-sonarqube-backend

@backstage-community/plugin-sonarqube-backend

@backstage/plugin-tech-radar

@backstage-community/plugin-tech-radar

以前は @janus-idp スコープの下にあった 2 つのプラグインが、@red-hat-developer-hub スコープに移動されました。

Expand

RHDH 1.3 プラグイン名

RHDH 1.4 プラグイン名

@janus-idp/backstage-plugin-bulk-import

@red-hat-developer-hub/backstage-plugin-bulk-import

@janus-idp/backstage-plugin-bulk-import-backend

@red-hat-developer-hub/backstage-plugin-bulk-import-backend

プラグインスコープの更新により、動的プラグイン設定も変更されました。

Expand

RHDH 1.3 の設定

RHDH 1.4 の設定

dynamic-plugins.default.yaml

dynamic-plugins.default.yaml

手順

  • RHDH 1.3 から RHDH 1.4 にアップグレードするには、新しいスコープから前述の最新バージョンのプラグインを使用するように設定を更新する必要があります。
注記

以前に提供されたテーブルに加え、RHDH 1.4 CSV ファイルRHDH 1.3 CSV ファイル を比較することで、動的プラグインの変更を特定できます。

関連情報

第3章 非推奨の機能

このセクションには、Red Hat Developer Hub 1.4 で非推奨となった機能が記載されています。

3.1. ./dynamic-plugins/dist/janus-idp-backstage-plugin-aap-backend-dynamic プラグインが非推奨に

./dynamic-plugins/dist/janus-idp-backstage-plugin-aap-backend-dynamic プラグインは非推奨となり、次のリリースで削除される予定です。代わりに、Ansible plug-ins for Red Hat Developer Hub を使用 できます。

関連情報

3.2. 監査ログのローテーションが非推奨に

この更新により、セキュリティーとコンプライアンスのニーズに合わせて、お使いのプラットフォームのログ転送ソリューションを評価できるようになりました。このようなソリューションの多くは、障害発生時にログの損失を最小限に抑えるための設定可能なオプションを備えています。

関連情報

3.3. Red Hat Single-Sign On 7.6 が認証プロバイダーとして非推奨に

Red Hat Single-Sign On (RHSSO) 7.6 は、認証プロバイダーとして非推奨となりました。メンテナンスサポートが終了するまで、RHSSO を引き続き使用できます。詳細は、RHSSO ライフサイクルの日付 を参照してください。別の方法として、Red Hat Build of Keycloak v24 に移行してください。

関連情報

第4章 テクノロジープレビュー

このセクションには、Red Hat Developer Hub 1.4 のテクノロジープレビュー機能が記載されています。

重要

テクノロジープレビュー機能は、近々発表予定の製品イノベーションをリリースに先駆けてご提供することにより、お客様は機能性をテストし、開発プロセス中にフィードバックをお寄せいただくことができます。ただし、これらの機能は Red Hat サブスクリプションレベルアグリーメントでは完全にサポートされておらず、機能的に完全でない可能性があり、実稼働環境での使用を目的としていません。Red Hat ではテクノロジープレビュー機能を今後も繰り返し使用することで一般提供に移行できると考えていることから、お客様がこの機能を使用する際に発生する問題の解決に取り組みます。テクノロジープレビューのサポート範囲 を参照してください。

4.1. 通知バックエンドプラグインの追加

この更新により、Developer Hub には、通知配信を管理および合理化するための次の動的プラグインが含まれるようになりました。

これらのプラグインはデフォルトで無効になっています。

関連情報

第5章 修正された問題

このセクションには、Red Hat Developer Hub 1.4 で修正された問題が記載されています。

5.1. 1.4.1 で修正された問題

5.1.1. チャネルを更新しても Operator の更新がトリガーされない

管理者は、チャネルをまたいで Developer Hub を更新する際に問題に遭遇する可能性があります。チャネルをまたいでアップグレードするには、回避策として以下を実行してください。

  • RHDH Operator のサブスクリプションを削除します。オペランドは削除しないでください。
  • 最新の CSV を使用して、新しいチャネル (fast または fast-1.4) を参照する新しいサブスクリプションを作成します。
  • 新しい Operator をインストールすると、既存の Backstage オブジェクトがアップグレードされます。
注記

プラグイン名または設定要件が変更された場合は、アプリケーション設定を更新する必要がある可能性があります。スコープが更新されたプラグイン を参照してください。

関連情報

5.1.2. RHDH Operator 1.4 を使用してデプロイすると、RHDH がテーブルロックで失敗する

以前のバージョンでは、データベースのテーブルロックが原因で、Operator のデプロイが失敗することがありました。これは 1.4.1 で修正されました。

関連情報

5.2. 1.4.0 で修正された問題

5.2.1. GitHub Issues プラグインが複数の GitHub インテグレーションホストをサポートする

以前は、GitHub Issues プラグインは、検出した最初の GitHub インテグレーションをすべてのコンポーネントに対してデフォルトで使用していました。この動作により、複数の GitHub インテグレーションホストに関連するセットアップとの互換性がありませんでした。

GitHub Issues プラグインが、複数の GitHub インテグレーションホストをサポートするようになりました。これは、有名なエンティティースラグアノテーションの backstage.io/source-location または backstage.io/managed-by-location を使用して、コンポーネントに適切な GitHub インテグレーションを決定します。スラグに一致するインテグレーションがない場合は、最初の GitHub インテグレーションが選択され、以前の動作を維持します。

関連情報

5.2.2. すべての API ドキュメントは、3scale バックエンドプラグインで定義されます。

以前は、3scale バックエンドプラグインで定義された一部の API ドキュメントは、RHDH でアクセスできませんでした。

この更新により、3scale バックエンドプラグインで定義されたすべての API ドキュメントがインポートされ、RHDH にマージされるようになりました。

関連情報

5.2.3. RHDH Helm チャートデプロイメントが NotAllowedError をスローする

以前は、Helm チャートを使用してデプロイする場合、Route ホスト名と、生成された app-config ConfigMap に追加された baseUrl フィールドとの間に不一致が生じる可能性がありました。これにより、作成元が一致しないため、一部のプロバイダーに対する認証に失敗する場合がありました。

この更新では、それらの値の間で不一致が発生しないようにすることで、この問題を修正しています。

関連情報

以前は、ロールベースアクセス制御 (RBAC) バックエンドプラグインを無効にすると、パーミッションフレームワークが有効かどうかに関わらず、ロールとパーミッションポリシーが作成されていました。

この更新により、RBAC バックエンドプラグインを無効にすると、ロールとパーミッションポリシーが作成されなくなりました。

関連情報

5.2.5. 一括インポート中に削除アイコンにアラートを追加

この更新前は、app-config ファイルまたは GitHub 検出などのさまざまなソースからリポジトリーが Developer Hub に追加されていました。Bulk Import プラグインは、設定された GitHub インテグレーションを使用してアクセス可能なリポジトリーのみを追跡していました。両方のプラグインが有効になっていた場合、GitHub Discovery によって検出されたリポジトリーは Bulk Import ページに表示されていました。ただし、検出または app-config.yaml ファイルからのエンティティーが Developer Hub カタログに残るため、これらのリポジトリーを Bulk Import ジョブから削除しても影響はありませんでした。

この更新により、削除アイコンにアラートが表示され、ユーザーに対してカタログエンティティーを削除するためにソース (リポジトリー内の catalog-info または app-config.yaml ファイル (このファイルが元になっている場合)) を修正するよう通知されます。

関連情報

5.2.6. 事前設定されたカスタムリソースを Kubernetes 設定から削除する

この更新前は、Kubernetes 設定のカスタムリソースは事前設定されていました。その結果、Kubernetes でカスタムリソースを設定しなくても、Tekton 警告が表示される可能性がありました。

この更新により、事前設定されたカスタムリソースが Kubernetes 設定から削除されます。したがって、ユーザーは要件に基づいて Kubernetes 設定のリソースをカスタマイズして、関連性のない警告が表示されないようにすることができます。

関連情報

5.2.7. RBAC プラグインは最新の Backstage バージョン (1.31) で壊れている

この更新前は、Backstage 1.31 でロールベースアクセス制御 (RBAC) バックエンドプラグインがエラーを表示して壊れていました。

この更新では、エラーを表示せずに Backstage バージョン 1.31 および 1.32 の RBAC バックエンドプラグインとの互換性の問題が解決されました。

関連情報

5.2.8. バックステージインスタンスは、バージョン 5.1.0で常に起動できませんでした。

この更新前は、バックステージインスタンスがバージョン 5.1.0 で起動できず、エラーが表示されていました。

この更新により、ロールベースアクセス制御 (RBAC) バックエンドプラグインが、エラーを表示せずにバージョン 5.1.0 で正常に起動するようになりました。

関連情報

5.2.9. デプロイメントを複数の Pod にスケーリングする際の RBAC API の不整合が解決される

この更新前は、デプロイメントを複数の Pod にスケーリングすると、ロールベースアクセス制御 (RBAC) のロールが同期されずに残り、リソースを作成した Pod のみがそれを提供することができました。

この更新により、RBAC ロールはすべての Pod で適切に同期され、デプロイメント全体で一貫性を確保するために Redis キャッシュとトラフィックルーティングが設定されています。

関連情報

以前は、CLI はエクスポートプロセス中に埋め込みパッケージの依存関係を調べ、他のパッケージを組み込む必要があるかどうかを確認していました。その方法の 1 つは、CLI が組み込まれたパッケージに遭遇した際に require を呼び出すことでした。これは、既存のプラグインをラップする場合に該当していました。

この更新により、require が使用する親ディレクトリーが monorepo ルートから組み込みパッケージに変更されました。そのため、検出される依存パッケージが、埋め込まれたパッケージと最も関連性の高い依存関係になりました。

関連情報

5.2.11. ネイティブモジュールを処理する suppress-native-package および allow-native-package フラグ

以前は、ネイティブモジュールがサポートされていないというメッセージが表示されて CLI が失敗していました。

この更新では、動的プラグイン開発者のネイティブモジュールの処理に役立つ 2 つの新しい CLI フラグが導入されました。どちらのフラグもパッケージのリストを受け入れます。--suppress-native-package フラグは、ランタイムでネイティブモジュールを必要としません。これは、エラーを表示する空のパッケージでネイティブモジュールを置き換えます。--allow-native-package フラグは、CLI に対してチェック時にネイティブパッケージを許可し、ネイティブモジュールを使用するプラグインをテストするよう指示します。

関連情報

5.2.12. TechDoc の問題を報告する際のテキスト選択問題の解決

以前は、ドキュメント (TechDoc) の問題を報告する機能が失敗していました。したがって、ユーザーが TechDoc でテキストを選択した場合、ツールチップボタンではなく大きなアイコンが表示されました。

この更新により、ユーザーは、ドキュメント (TechDoc) の問題を報告するときに、テキストを選択できるようになりました。

関連情報

5.2.13. stdout maxBuffer エラーの解決

以前は、export-dynamic-plugin は、stdout maxBuffer の長さが超過しているというエラーで失敗していました。

この更新により、CLI がエクスポートプロセス中に実行する yarn install コマンドの出力を、ファイルにリダイレクトするようになりました。yarn install コマンドが正常に完了し、export-dynamic-plugin が検証された場合、このファイルはクリーンアップされます。このファイルは、動的プラグイン検証チェックが失敗した場合にトラブルシューティングに使用できます。

関連情報

5.2.14. --ignore-version-check フラグの追加

以前は、semver チェックが動的プラグインパッケージの依存関係に対して実行されるため、新しいバックステージバージョンに更新されていないプラグインのエクスポートに失敗していました。

この更新で、--ignore-version-check フラグがパッケージ名のリストを受け入れるようになり、これが原因で CLI は、プラグインパッケージの依存関係を評価する際に CLI が実行する semver チェックを選択的に無視するようになりました。したがって、更新されていないプラグインは、変更されていないインターフェースや関数に依存しているため機能します。

関連情報

5.2.15. Tech Radar プラグインの更新

この更新により、Tech Radar プラグインを使用するには、./dynamic-plugins/dist/backstage-community-tech-radar および ./dynamic-plugins/dist/backstage-community-tech-radar-backend-dynamic の両方を有効にする必要があります。プラグインの JSON データを読み込む場所に応じて、追加の設定を行う必要があります。

関連情報

第6章 修正されたセキュリティーの問題

このセクションには、Red Hat Developer Hub 1.4 で修正されたセキュリティー問題が記載されています。

6.1. Red Hat Developer Hub 1.4.3

6.1.1. Red Hat Developer Hub の依存関係の更新

CVE-2025-27516
Jinja に欠陥が見つかりました。影響を受けるバージョンでは、Jinja サンドボックスコンテナーが |attr フィルターとどのように相互作用するかが明確であるため、テンプレートのコンテンツを制御する攻撃者は任意の Python コードを実行することができます。攻撃者がこの脆弱性を悪用するには、テンプレートの内容を制御する必要があります。これが当てはまるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼されていないテンプレートを実行するアプリケーションのユーザーに影響します。jinja のサンドボックスは、str.format への呼び出しをキャッチし、サンドボックスをエスケープしないようにします。ただし、|attr フィルターを使用して、サンドボックスを使用せずに文字列プレーン形式のメソッドへの参照を取得できます。
CVE-2025-29774
Node.js の xml-crypto ライブラリーに欠陥が見つかりました。攻撃者はこの脆弱性を悪用して、xml-crypto に依存して署名済み XML ドキュメントを検証するシステムの認証または認可メカニズムをバイパスできます。脆弱性により、攻撃者は署名検証チェックを渡す方法で有効な署名済み XML メッセージを変更できます。
CVE-2025-29775
Node.js の xml-crypto ライブラリーに欠陥が見つかりました。攻撃者はこの脆弱性を悪用して、xml-crypto に依存して署名済み XML ドキュメントを検証するシステムの認証または認可メカニズムをバイパスできます。脆弱性により、攻撃者は署名検証チェックを渡す方法で有効な署名済み XML メッセージを変更できます。

6.2. Red Hat Developer Hub 1.4.2

6.2.1. Red Hat Developer Hub の依存関係の更新

CVE-2025-22150
Node.js の undici パッケージに不具合が見つかりました。Undici は Math.random() を使用して、multipart/form-data 要求の境界を選択します。Math.random() の出力は、生成された値のいくつかがわかっている場合は予測できることが知られています。攻撃者がコントロールする Web サイトにマルチパートリクエストを送信するメカニズムがアプリケーションにある場合、必要な値が漏洩する可能性があります。したがって、特定の条件が満たされた場合、攻撃者はバックエンド API に送信されるリクエストを改ざんできます。

6.3. Red Hat Developer Hub 1.4.1

6.3.1. Red Hat Developer Hub の依存関係の更新

CVE-2024-45338
golang.org/x/net/html に不具合が見つかりました。攻撃者がこの不具合を利用すると、長さが非線形的に処理されるように細工した解析関数への入力を作成できます。その結果、解析が非常に遅くなります。この問題により、サービス拒否が発生する可能性があります。
CVE-2024-52798
path-to-regexp に不具合が見つかりました。path-to-regexp はパス文字列を正規表現に変換します。場合によっては、path-to-regexp は、パフォーマンスを低下させる可能性のある正規表現を出力することがあります。
CVE-2024-55565
5.0.9 より前の nanoid (Nano ID) は、整数以外の値を誤って処理します。3.3.8 も修正されたバージョンです。
CVE-2024-56201
Jinja2 パッケージに不具合が見つかりました。Jinja コンパイラーのバグにより、Jinja のサンドボックスが使用されているかどうかに関係なく、攻撃者がテンプレートの内容とファイル名の両方を制御して、任意の Python コードを実行できます。攻撃者は、ファイル名とテンプレートの内容の両方を制御できる必要があります。これが当てはまるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼できないテンプレート、つまり作成者がテンプレートのファイル名を選択できるテンプレートを実行するアプリケーションのユーザーに影響します。
CVE-2024-56326
Jinja パッケージに不具合が見つかりました。影響を受けるバージョンの Jinja には、Jinja サンドボックス環境が str.format の呼び出しを検出する方法に不備があります。これにより、攻撃者がテンプレートの内容を制御して、任意の Python コードを実行できます。攻撃者がこの脆弱性を悪用するには、テンプレートの内容を制御する必要があります。これが当てはまるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼されていないテンプレートを実行するアプリケーションのユーザーに影響します。Jinja のサンドボックスは str.format への呼び出しを検出し、サンドボックスからの脱出を防ぎます。しかし、悪意のある文字列のフォーマットメソッドへの参照を保存し、それを呼び出すフィルターに渡すことは可能です。このようなフィルターは Jinja に組み込まれていませんが、アプリケーション内のカスタムフィルターに存在する可能性があります。修正後は、このような間接呼び出しもサンドボックスによって処理されるようになります。
CVE-2024-56334
Node.js の systeminformation ライブラリーに不具合が見つかりました。Windows システムでは、getWindowsIEEE8021x 関数の SSID パラメーターが、cmd.exe に渡される前にサニタイズされません。これにより、リモートの攻撃者がターゲットシステム上で任意のコマンドを実行できる可能性があります。

6.4. Red Hat Developer Hub 1.4.0

6.4.1. Red Hat Developer Hub の依存関係の更新

CVE-2024-21536
http-proxy-middleware パッケージに欠陥が見つかりました。このパッケージの影響を受けるバージョンは、micromatch によってスローされる UnhandledPromiseRejection エラーにより、サービス拒否 (DoS) に対して脆弱です。この欠陥により、攻撃者は Node.js プロセスを強制終了し、特定のパスを要求してサーバーをクラッシュさせることができます。
CVE-2024-21538
Regular Expression Denial of Service (ReDoS) の脆弱性が、Node.js の cross-spawn パッケージで発見されました。不適切な入力サニタイズにより、攻撃者は CPU 使用率を増やし、特別に細工された文字列でプログラムをクラッシュさせる可能性があります。
CVE-2024-45296
path-to-regexp パッケージに欠陥が見つかりました。これは、パス文字列を正規表現に変換します。場合によっては、path-to-regexp は、パフォーマンスを低下させる可能性のある正規表現を出力することがあります。JavaScript はシングルスレッドであり、正規表現の一致はメインスレッドで実行されるため、パフォーマンスの低下によりイベントループがブロックされ、サービス拒否 (DoS) が発生します。
CVE-2024-45590
body-parser に欠陥が見つかりました。この脆弱性により、URL エンコーディングが有効な場合に特別に細工されたペイロード経由のサービス拒否が発生します。
CVE-2024-45815
backstage/plugin-catalog-backend パッケージに欠陥が見つかりました。カタログバックエンドプラグインがインストールされた Backstage インスタンスに認証済みでアクセスできる悪意のある攻撃者は、カタログ API への特別に細工されたクエリーを使用してサービスを中断させることができます。
CVE-2024-45816
backstage/plugin-techdocs-backend パッケージでディレクトリートラバーサルの脆弱性が見つかりました。TechDocs に AWS S3 または GCS ストレージプロバイダーを使用する場合は、ストレージバケット全体のコンテンツにアクセスできます。これにより、アクセスが意図されていないバケットのコンテンツをリークしたり、Backstage でのパーミッションチェックを回避したりできます。
CVE-2024-46976
backstage/plugin-techdocs-backend パッケージに欠陥が見つかりました。TechDocs ストレージバケットのコンテンツを制御できる攻撃者は、TechDocs コンテンツに実行可能なスクリプトを注入し、被害者がドキュメントを閲覧したり、攻撃者提供のリンクに移動したりする際に、そのスクリプトが被害者のブラウザーで実行される可能性があります。
CVE-2024-47762
backstage/plugin-app-backend パッケージに欠陥が見つかりました。APP_CONFIG_* 環境変数で指定される設定では、設定スキーマで定義された可視性が予期せず無視され、非公開またはバックエンドプロセスに限定される機密性の高い設定の詳細が公開される可能性があります。

第7章 既知の問題

このセクションには、Red Hat Developer Hub 1.4 の既知の問題が記載されています。

7.1. ボリューム (PVC) のマルチアタッチエラー

現在、Helm チャートを使用して Developer Hub をデプロイする場合、2 つのレプリカを別のクラスターノードで実行できません。これは、新しい Pod が別のノードでスケジュールされている場合、1.3 から 1.4.0 へのアップグレードにも影響を与える可能性があります。

考えられるアップグレードの回避策は、Helm リリースをアップグレードする前に、レプリカ数を手動で 0 にスケールダウンすることです。または、Helm リリースのアップグレード後に古い Developer Hub Pod を手動で削除します。ただし、これはアプリケーションのダウンタイムを意味します。Pod のアフィニティールールを利用して、クラスタースケジューラーが同じノードで Developer Hub Pod を実行するように強制することもできます。

関連情報

7.2. RBAC フロントエンド UI にトポロジープラグインのパーミッションが表示されない

フロントエンドプラグインにのみ関連付けられたパーミッションは、パーミッションフレームワークのよく知られているエンドポイントを公開するためにバックエンドプラグインが必要になるため、UI には表示されません。回避策として、CSV ファイルを使用するか、RBAC バックエンドプラグインの REST API を直接呼び出すことで、これらのパーミッションを適用できます。影響を受けるプラグインには、Topology (topology.view.read)、Tekton (tekton.view.read)、ArgoCD (argocd.view.read)、および Quay (quay.view.read) が含まれます。

関連情報

法律上の通知

Copyright © 2025 Red Hat, Inc.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution–Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, the Red Hat logo, JBoss, OpenShift, Fedora, the Infinity logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
Linux® is the registered trademark of Linus Torvalds in the United States and other countries.
Java® is a registered trademark of Oracle and/or its affiliates.
XFS® is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries.
MySQL® is a registered trademark of MySQL AB in the United States, the European Union and other countries.
Node.js® is an official trademark of Joyent. Red Hat is not formally related to or endorsed by the official Joyent Node.js open source or commercial project.
The OpenStack® Word Mark and OpenStack logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community.
All other trademarks are the property of their respective owners.
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

Red Hat ドキュメントについて

Legal Notice

Theme

© 2026 Red Hat
トップに戻る