リリースノート
Red Hat Developer Hub 1.4 のリリースノート
概要
はじめに リンクのコピーリンクがクリップボードにコピーされました!
Red Hat Developer Hub 1.4 は、Red Hat カスタマーポータル または Ecosystem Catalog から一般提供されるようになりました。
Developer Hub は、アップストリームの Backstage 1.32.6 の完全にサポートされたエンタープライズグレードの製品化バージョンです。
第1章 新機能 リンクのコピーリンクがクリップボードにコピーされました!
このセクションでは、Red Hat Developer Hub 1.4 の新機能を説明します。
1.1. 個別の mountPath を追加 リンクのコピーリンクがクリップボードにコピーされました!
この更新により、追加の ConfigMap または Secret 用の個別の mountPath が追加されました。
1.2. PersistentVolumeClaims のサポートが利用可能に リンクのコピーリンクがクリップボードにコピーされました!
この更新により、PersistentVolumeClaims (PVC) のサポートが利用可能になりました。
1.3. kube-rbac-proxyの使用の強化 リンクのコピーリンクがクリップボードにコピーされました!
この更新により、kube-rbac-proxy サイドカーコンテナーが RHDH Operator Pod から削除されます。このサイドカーコンテナーにより、Operator メトリクスエンドポイントが保護されていました。しかし、主要なコンテナーがこの機能をそのまま提供するようになりました。このサイドカーコンテナーを削除すると、Operator の実行に必要なリソースを減らすことができます。
1.4. developerHub.flavor フィールドを使用したプラグインの Backstage フレーバーの識別 リンクのコピーリンクがクリップボードにコピーされました!
この更新により、以下の例のように、developerHub.flavor フィールドを使用して、プラグインが RHDH、RHTAP、または vanilla Backstage で実行されているかを識別できるようになりました。
developerhub.flavor フィールドを含む app-config.yaml フラグメント
developerHub:
flavor: <flavor>
flavor-
実行中の Backstage のフレーバーを特定します。デフォルト値:
rhdh
1.5. RHDH Operator の永続ボリューム要求 (PVC) 管理機能 リンクのコピーリンクがクリップボードにコピーされました!
RHDH Operator の設定中に、spec.application.extraFiles.pvcs フィールドを使用して、事前に作成された PersistentVolumeClaim (PVC) からディレクトリーをマウントできるようになりました。詳細は、Operator を使用する場合の Red Hat Developer Hub デプロイメントの設定 を参照してください。
1.6. Red Hat build of Keycloak (RHBK) による認証 リンクのコピーリンクがクリップボードにコピーされました!
With this update, you can use Red Hat Build of Keycloak as an authentication provider.Keycloak プラグインは、Red Hat Build of Keycloak を使用したユーザーおよびグループの取り込みをサポートするようになりました。詳細は、Red Hat Build of Keycloak による認証 を参照してください。
1.7. RHDH にサードパーティープラグインをインストールする機能 リンクのコピーリンクがクリップボードにコピーされました!
RHDH アプリケーションを再構築せずに、Red Hat Developer Hub にサードパーティーのプラグインをインストールできるようになりました。
詳細は、Red Hat Developer Hub にサードパーティープラグインをインストールする を参照してください。
1.8. カタログバックエンドモジュールログプラグインが有効化されている リンクのコピーリンクがクリップボードにコピーされました!
この更新により、backstage-plugin-catalog-backend-module-logs が有効になり、パフォーマンスと安定性を向上させる静的プラグインに変換されます。バージョン 1.3 では、動的プラグインが無効になりました。
1.9. Google Kubernetes Engine がサポートされるようになる リンクのコピーリンクがクリップボードにコピーされました!
Google Kubernetes Engine (GKE) は開発者プレビューではなくなり、RHDH 1.4 の時点で完全にサポートされるようになりました。
ライフサイクルページ で、サポート対象のプラットフォームの一覧を参照してください。
1.10. 動的プラグインのインストール時に同時書き込みを管理する リンクのコピーリンクがクリップボードにコピーされました!
以前は、書き込みの競合が発生する可能性があるため、動的プラグインキャッシュ用の永続ボリュームを使用してマルチレプリカ RHDH を実行することはできませんでした。この更新により、そのリスクが軽減されます。
第2章 互換性を失わせる変更点 リンクのコピーリンクがクリップボードにコピーされました!
このセクションでは、Red Hat Developer Hub 1.4 の重大な変更点を記載しています。
2.1. モニタリングおよびロギングメトリクスの更新 リンクのコピーリンクがクリップボードにコピーされました!
prom-client メトリクスが削除され、OpenTelemetry メトリクスに置き換えられました。その結果、メトリクスポートが 7007 から 9464 に変更になりました。非推奨となったメトリクスも削除されました。これらに依存している場合、prometheus クエリーが更新されていることを確認します。詳細は、モニタリングとロギング を参照してください。
関連情報
2.2. スコープが更新されたプラグイン リンクのコピーリンクがクリップボードにコピーされました!
RHDH 1.3 から 1.4 にアップグレードするには、新しいスコープから次のプラグインの最新バージョンを使用するように設定を更新する必要があります。
この更新により、以前は @janus-idp スコープの下にあった以下のプラグインが、@backstage-community スコープに移動されました。
| RHDH 1.3 プラグイン名 | RHDH 1.4 プラグイン名 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
以前は @backstage スコープの下にあった以下のプラグインが、@backstage-community スコープに移動されました。
| RHDH 1.3 プラグイン名 | RHDH 1.4 プラグイン名 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
以前は @janus-idp スコープの下にあった 2 つのプラグインが、@red-hat-developer-hub スコープに移動されました。
| RHDH 1.3 プラグイン名 | RHDH 1.4 プラグイン名 |
|
|
|
|
|
|
プラグインスコープの更新により、動的プラグイン設定も変更されました。
| RHDH 1.3 の設定 | RHDH 1.4 の設定 |
手順
- RHDH 1.3 から RHDH 1.4 にアップグレードするには、新しいスコープから前述の最新バージョンのプラグインを使用するように設定を更新する必要があります。
以前に提供されたテーブルに加え、RHDH 1.4 CSV ファイル と RHDH 1.3 CSV ファイル を比較することで、動的プラグインの変更を特定できます。
関連情報
第3章 非推奨の機能 リンクのコピーリンクがクリップボードにコピーされました!
このセクションには、Red Hat Developer Hub 1.4 で非推奨となった機能が記載されています。
3.1. ./dynamic-plugins/dist/janus-idp-backstage-plugin-aap-backend-dynamic プラグインが非推奨に リンクのコピーリンクがクリップボードにコピーされました!
./dynamic-plugins/dist/janus-idp-backstage-plugin-aap-backend-dynamic プラグインは非推奨となり、次のリリースで削除される予定です。代わりに、Ansible plug-ins for Red Hat Developer Hub を使用 できます。
関連情報
3.2. 監査ログのローテーションが非推奨に リンクのコピーリンクがクリップボードにコピーされました!
この更新により、セキュリティーとコンプライアンスのニーズに合わせて、お使いのプラットフォームのログ転送ソリューションを評価できるようになりました。このようなソリューションの多くは、障害発生時にログの損失を最小限に抑えるための設定可能なオプションを備えています。
関連情報
3.3. Red Hat Single-Sign On 7.6 が認証プロバイダーとして非推奨に リンクのコピーリンクがクリップボードにコピーされました!
Red Hat Single-Sign On (RHSSO) 7.6 は、認証プロバイダーとして非推奨となりました。メンテナンスサポートが終了するまで、RHSSO を引き続き使用できます。詳細は、RHSSO ライフサイクルの日付 を参照してください。別の方法として、Red Hat Build of Keycloak v24 に移行してください。
関連情報
第4章 テクノロジープレビュー リンクのコピーリンクがクリップボードにコピーされました!
このセクションには、Red Hat Developer Hub 1.4 のテクノロジープレビュー機能が記載されています。
テクノロジープレビュー機能は、近々発表予定の製品イノベーションをリリースに先駆けてご提供することにより、お客様は機能性をテストし、開発プロセス中にフィードバックをお寄せいただくことができます。ただし、これらの機能は Red Hat サブスクリプションレベルアグリーメントでは完全にサポートされておらず、機能的に完全でない可能性があり、実稼働環境での使用を目的としていません。Red Hat ではテクノロジープレビュー機能を今後も繰り返し使用することで一般提供に移行できると考えていることから、お客様がこの機能を使用する際に発生する問題の解決に取り組みます。テクノロジープレビューのサポート範囲 を参照してください。
4.1. 通知バックエンドプラグインの追加 リンクのコピーリンクがクリップボードにコピーされました!
この更新により、Developer Hub には、通知配信を管理および合理化するための次の動的プラグインが含まれるようになりました。
これらのプラグインはデフォルトで無効になっています。
関連情報
第5章 修正された問題 リンクのコピーリンクがクリップボードにコピーされました!
このセクションには、Red Hat Developer Hub 1.4 で修正された問題が記載されています。
5.1. 1.4.1 で修正された問題 リンクのコピーリンクがクリップボードにコピーされました!
5.1.1. チャネルを更新しても Operator の更新がトリガーされない リンクのコピーリンクがクリップボードにコピーされました!
管理者は、チャネルをまたいで Developer Hub を更新する際に問題に遭遇する可能性があります。チャネルをまたいでアップグレードするには、回避策として以下を実行してください。
- RHDH Operator のサブスクリプションを削除します。オペランドは削除しないでください。
-
最新の CSV を使用して、新しいチャネル (
fastまたはfast-1.4) を参照する新しいサブスクリプションを作成します。 - 新しい Operator をインストールすると、既存の Backstage オブジェクトがアップグレードされます。
プラグイン名または設定要件が変更された場合は、アプリケーション設定を更新する必要がある可能性があります。スコープが更新されたプラグイン を参照してください。
関連情報
5.1.2. RHDH Operator 1.4 を使用してデプロイすると、RHDH がテーブルロックで失敗する リンクのコピーリンクがクリップボードにコピーされました!
以前のバージョンでは、データベースのテーブルロックが原因で、Operator のデプロイが失敗することがありました。これは 1.4.1 で修正されました。
関連情報
5.2. 1.4.0 で修正された問題 リンクのコピーリンクがクリップボードにコピーされました!
5.2.1. GitHub Issues プラグインが複数の GitHub インテグレーションホストをサポートする リンクのコピーリンクがクリップボードにコピーされました!
以前は、GitHub Issues プラグインは、検出した最初の GitHub インテグレーションをすべてのコンポーネントに対してデフォルトで使用していました。この動作により、複数の GitHub インテグレーションホストに関連するセットアップとの互換性がありませんでした。
GitHub Issues プラグインが、複数の GitHub インテグレーションホストをサポートするようになりました。これは、有名なエンティティースラグアノテーションの backstage.io/source-location または backstage.io/managed-by-location を使用して、コンポーネントに適切な GitHub インテグレーションを決定します。スラグに一致するインテグレーションがない場合は、最初の GitHub インテグレーションが選択され、以前の動作を維持します。
関連情報
5.2.2. すべての API ドキュメントは、3scale バックエンドプラグインで定義されます。 リンクのコピーリンクがクリップボードにコピーされました!
以前は、3scale バックエンドプラグインで定義された一部の API ドキュメントは、RHDH でアクセスできませんでした。
この更新により、3scale バックエンドプラグインで定義されたすべての API ドキュメントがインポートされ、RHDH にマージされるようになりました。
関連情報
5.2.3. RHDH Helm チャートデプロイメントが NotAllowedError をスローする リンクのコピーリンクがクリップボードにコピーされました!
以前は、Helm チャートを使用してデプロイする場合、Route ホスト名と、生成された app-config ConfigMap に追加された baseUrl フィールドとの間に不一致が生じる可能性がありました。これにより、作成元が一致しないため、一部のプロバイダーに対する認証に失敗する場合がありました。
この更新では、それらの値の間で不一致が発生しないようにすることで、この問題を修正しています。
関連情報
5.2.4. RBAC バックエンドプラグインを無効にする際のパーミッションポリシーおよびロールの作成の無効化 リンクのコピーリンクがクリップボードにコピーされました!
以前は、ロールベースアクセス制御 (RBAC) バックエンドプラグインを無効にすると、パーミッションフレームワークが有効かどうかに関わらず、ロールとパーミッションポリシーが作成されていました。
この更新により、RBAC バックエンドプラグインを無効にすると、ロールとパーミッションポリシーが作成されなくなりました。
関連情報
5.2.5. 一括インポート中に削除アイコンにアラートを追加 リンクのコピーリンクがクリップボードにコピーされました!
この更新前は、app-config ファイルまたは GitHub 検出などのさまざまなソースからリポジトリーが Developer Hub に追加されていました。Bulk Import プラグインは、設定された GitHub インテグレーションを使用してアクセス可能なリポジトリーのみを追跡していました。両方のプラグインが有効になっていた場合、GitHub Discovery によって検出されたリポジトリーは Bulk Import ページに表示されていました。ただし、検出または app-config.yaml ファイルからのエンティティーが Developer Hub カタログに残るため、これらのリポジトリーを Bulk Import ジョブから削除しても影響はありませんでした。
この更新により、削除アイコンにアラートが表示され、ユーザーに対してカタログエンティティーを削除するためにソース (リポジトリー内の catalog-info または app-config.yaml ファイル (このファイルが元になっている場合)) を修正するよう通知されます。
関連情報
5.2.6. 事前設定されたカスタムリソースを Kubernetes 設定から削除する リンクのコピーリンクがクリップボードにコピーされました!
この更新前は、Kubernetes 設定のカスタムリソースは事前設定されていました。その結果、Kubernetes でカスタムリソースを設定しなくても、Tekton 警告が表示される可能性がありました。
この更新により、事前設定されたカスタムリソースが Kubernetes 設定から削除されます。したがって、ユーザーは要件に基づいて Kubernetes 設定のリソースをカスタマイズして、関連性のない警告が表示されないようにすることができます。
関連情報
5.2.7. RBAC プラグインは最新の Backstage バージョン (1.31) で壊れている リンクのコピーリンクがクリップボードにコピーされました!
この更新前は、Backstage 1.31 でロールベースアクセス制御 (RBAC) バックエンドプラグインがエラーを表示して壊れていました。
この更新では、エラーを表示せずに Backstage バージョン 1.31 および 1.32 の RBAC バックエンドプラグインとの互換性の問題が解決されました。
関連情報
5.2.8. バックステージインスタンスは、バージョン 5.1.0で常に起動できませんでした。 リンクのコピーリンクがクリップボードにコピーされました!
この更新前は、バックステージインスタンスがバージョン 5.1.0 で起動できず、エラーが表示されていました。
この更新により、ロールベースアクセス制御 (RBAC) バックエンドプラグインが、エラーを表示せずにバージョン 5.1.0 で正常に起動するようになりました。
関連情報
5.2.9. デプロイメントを複数の Pod にスケーリングする際の RBAC API の不整合が解決される リンクのコピーリンクがクリップボードにコピーされました!
この更新前は、デプロイメントを複数の Pod にスケーリングすると、ロールベースアクセス制御 (RBAC) のロールが同期されずに残り、リソースを作成した Pod のみがそれを提供することができました。
この更新により、RBAC ロールはすべての Pod で適切に同期され、デプロイメント全体で一貫性を確保するために Redis キャッシュとトラフィックルーティングが設定されています。
関連情報
5.2.10. export-dynamic-plugin は、node_modules 内で 1 階層より深くネストされた依存関係を見つけることができない リンクのコピーリンクがクリップボードにコピーされました!
以前は、CLI はエクスポートプロセス中に埋め込みパッケージの依存関係を調べ、他のパッケージを組み込む必要があるかどうかを確認していました。その方法の 1 つは、CLI が組み込まれたパッケージに遭遇した際に require を呼び出すことでした。これは、既存のプラグインをラップする場合に該当していました。
この更新により、require が使用する親ディレクトリーが monorepo ルートから組み込みパッケージに変更されました。そのため、検出される依存パッケージが、埋め込まれたパッケージと最も関連性の高い依存関係になりました。
関連情報
5.2.11. ネイティブモジュールを処理する suppress-native-package および allow-native-package フラグ リンクのコピーリンクがクリップボードにコピーされました!
以前は、ネイティブモジュールがサポートされていないというメッセージが表示されて CLI が失敗していました。
この更新では、動的プラグイン開発者のネイティブモジュールの処理に役立つ 2 つの新しい CLI フラグが導入されました。どちらのフラグもパッケージのリストを受け入れます。--suppress-native-package フラグは、ランタイムでネイティブモジュールを必要としません。これは、エラーを表示する空のパッケージでネイティブモジュールを置き換えます。--allow-native-package フラグは、CLI に対してチェック時にネイティブパッケージを許可し、ネイティブモジュールを使用するプラグインをテストするよう指示します。
関連情報
5.2.12. TechDoc の問題を報告する際のテキスト選択問題の解決 リンクのコピーリンクがクリップボードにコピーされました!
以前は、ドキュメント (TechDoc) の問題を報告する機能が失敗していました。したがって、ユーザーが TechDoc でテキストを選択した場合、ツールチップボタンではなく大きなアイコンが表示されました。
この更新により、ユーザーは、ドキュメント (TechDoc) の問題を報告するときに、テキストを選択できるようになりました。
関連情報
5.2.13. stdout maxBuffer エラーの解決 リンクのコピーリンクがクリップボードにコピーされました!
以前は、export-dynamic-plugin は、stdout maxBuffer の長さが超過しているというエラーで失敗していました。
この更新により、CLI がエクスポートプロセス中に実行する yarn install コマンドの出力を、ファイルにリダイレクトするようになりました。yarn install コマンドが正常に完了し、export-dynamic-plugin が検証された場合、このファイルはクリーンアップされます。このファイルは、動的プラグイン検証チェックが失敗した場合にトラブルシューティングに使用できます。
関連情報
5.2.14. --ignore-version-check フラグの追加 リンクのコピーリンクがクリップボードにコピーされました!
以前は、semver チェックが動的プラグインパッケージの依存関係に対して実行されるため、新しいバックステージバージョンに更新されていないプラグインのエクスポートに失敗していました。
この更新で、--ignore-version-check フラグがパッケージ名のリストを受け入れるようになり、これが原因で CLI は、プラグインパッケージの依存関係を評価する際に CLI が実行する semver チェックを選択的に無視するようになりました。したがって、更新されていないプラグインは、変更されていないインターフェースや関数に依存しているため機能します。
関連情報
5.2.15. Tech Radar プラグインの更新 リンクのコピーリンクがクリップボードにコピーされました!
この更新により、Tech Radar プラグインを使用するには、./dynamic-plugins/dist/backstage-community-tech-radar および ./dynamic-plugins/dist/backstage-community-tech-radar-backend-dynamic の両方を有効にする必要があります。プラグインの JSON データを読み込む場所に応じて、追加の設定を行う必要があります。
関連情報
第6章 修正されたセキュリティーの問題 リンクのコピーリンクがクリップボードにコピーされました!
このセクションには、Red Hat Developer Hub 1.4 で修正されたセキュリティー問題が記載されています。
6.1. Red Hat Developer Hub 1.4.3 リンクのコピーリンクがクリップボードにコピーされました!
6.1.1. Red Hat Developer Hub の依存関係の更新 リンクのコピーリンクがクリップボードにコピーされました!
- CVE-2025-27516
-
Jinja に欠陥が見つかりました。影響を受けるバージョンでは、Jinja サンドボックスコンテナーが
|attrフィルターとどのように相互作用するかが明確であるため、テンプレートのコンテンツを制御する攻撃者は任意の Python コードを実行することができます。攻撃者がこの脆弱性を悪用するには、テンプレートの内容を制御する必要があります。これが当てはまるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼されていないテンプレートを実行するアプリケーションのユーザーに影響します。jinja のサンドボックスは、str.formatへの呼び出しをキャッチし、サンドボックスをエスケープしないようにします。ただし、|attrフィルターを使用して、サンドボックスを使用せずに文字列プレーン形式のメソッドへの参照を取得できます。 - CVE-2025-29774
- Node.js の xml-crypto ライブラリーに欠陥が見つかりました。攻撃者はこの脆弱性を悪用して、xml-crypto に依存して署名済み XML ドキュメントを検証するシステムの認証または認可メカニズムをバイパスできます。脆弱性により、攻撃者は署名検証チェックを渡す方法で有効な署名済み XML メッセージを変更できます。
- CVE-2025-29775
- Node.js の xml-crypto ライブラリーに欠陥が見つかりました。攻撃者はこの脆弱性を悪用して、xml-crypto に依存して署名済み XML ドキュメントを検証するシステムの認証または認可メカニズムをバイパスできます。脆弱性により、攻撃者は署名検証チェックを渡す方法で有効な署名済み XML メッセージを変更できます。
6.2. Red Hat Developer Hub 1.4.2 リンクのコピーリンクがクリップボードにコピーされました!
6.2.1. Red Hat Developer Hub の依存関係の更新 リンクのコピーリンクがクリップボードにコピーされました!
- CVE-2025-22150
-
Node.js の undici パッケージに不具合が見つかりました。Undici は
Math.random()を使用して、multipart/form-data 要求の境界を選択します。Math.random()の出力は、生成された値のいくつかがわかっている場合は予測できることが知られています。攻撃者がコントロールする Web サイトにマルチパートリクエストを送信するメカニズムがアプリケーションにある場合、必要な値が漏洩する可能性があります。したがって、特定の条件が満たされた場合、攻撃者はバックエンド API に送信されるリクエストを改ざんできます。
6.3. Red Hat Developer Hub 1.4.1 リンクのコピーリンクがクリップボードにコピーされました!
6.3.1. Red Hat Developer Hub の依存関係の更新 リンクのコピーリンクがクリップボードにコピーされました!
- CVE-2024-45338
- golang.org/x/net/html に不具合が見つかりました。攻撃者がこの不具合を利用すると、長さが非線形的に処理されるように細工した解析関数への入力を作成できます。その結果、解析が非常に遅くなります。この問題により、サービス拒否が発生する可能性があります。
- CVE-2024-52798
- path-to-regexp に不具合が見つかりました。path-to-regexp はパス文字列を正規表現に変換します。場合によっては、path-to-regexp は、パフォーマンスを低下させる可能性のある正規表現を出力することがあります。
- CVE-2024-55565
- 5.0.9 より前の nanoid (Nano ID) は、整数以外の値を誤って処理します。3.3.8 も修正されたバージョンです。
- CVE-2024-56201
- Jinja2 パッケージに不具合が見つかりました。Jinja コンパイラーのバグにより、Jinja のサンドボックスが使用されているかどうかに関係なく、攻撃者がテンプレートの内容とファイル名の両方を制御して、任意の Python コードを実行できます。攻撃者は、ファイル名とテンプレートの内容の両方を制御できる必要があります。これが当てはまるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼できないテンプレート、つまり作成者がテンプレートのファイル名を選択できるテンプレートを実行するアプリケーションのユーザーに影響します。
- CVE-2024-56326
- Jinja パッケージに不具合が見つかりました。影響を受けるバージョンの Jinja には、Jinja サンドボックス環境が str.format の呼び出しを検出する方法に不備があります。これにより、攻撃者がテンプレートの内容を制御して、任意の Python コードを実行できます。攻撃者がこの脆弱性を悪用するには、テンプレートの内容を制御する必要があります。これが当てはまるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼されていないテンプレートを実行するアプリケーションのユーザーに影響します。Jinja のサンドボックスは str.format への呼び出しを検出し、サンドボックスからの脱出を防ぎます。しかし、悪意のある文字列のフォーマットメソッドへの参照を保存し、それを呼び出すフィルターに渡すことは可能です。このようなフィルターは Jinja に組み込まれていませんが、アプリケーション内のカスタムフィルターに存在する可能性があります。修正後は、このような間接呼び出しもサンドボックスによって処理されるようになります。
- CVE-2024-56334
-
Node.js の systeminformation ライブラリーに不具合が見つかりました。Windows システムでは、
getWindowsIEEE8021x関数の SSID パラメーターが、cmd.exe に渡される前にサニタイズされません。これにより、リモートの攻撃者がターゲットシステム上で任意のコマンドを実行できる可能性があります。
6.4. Red Hat Developer Hub 1.4.0 リンクのコピーリンクがクリップボードにコピーされました!
6.4.1. Red Hat Developer Hub の依存関係の更新 リンクのコピーリンクがクリップボードにコピーされました!
- CVE-2024-21536
- http-proxy-middleware パッケージに欠陥が見つかりました。このパッケージの影響を受けるバージョンは、micromatch によってスローされる UnhandledPromiseRejection エラーにより、サービス拒否 (DoS) に対して脆弱です。この欠陥により、攻撃者は Node.js プロセスを強制終了し、特定のパスを要求してサーバーをクラッシュさせることができます。
- CVE-2024-21538
- Regular Expression Denial of Service (ReDoS) の脆弱性が、Node.js の cross-spawn パッケージで発見されました。不適切な入力サニタイズにより、攻撃者は CPU 使用率を増やし、特別に細工された文字列でプログラムをクラッシュさせる可能性があります。
- CVE-2024-45296
- path-to-regexp パッケージに欠陥が見つかりました。これは、パス文字列を正規表現に変換します。場合によっては、path-to-regexp は、パフォーマンスを低下させる可能性のある正規表現を出力することがあります。JavaScript はシングルスレッドであり、正規表現の一致はメインスレッドで実行されるため、パフォーマンスの低下によりイベントループがブロックされ、サービス拒否 (DoS) が発生します。
- CVE-2024-45590
- body-parser に欠陥が見つかりました。この脆弱性により、URL エンコーディングが有効な場合に特別に細工されたペイロード経由のサービス拒否が発生します。
- CVE-2024-45815
- backstage/plugin-catalog-backend パッケージに欠陥が見つかりました。カタログバックエンドプラグインがインストールされた Backstage インスタンスに認証済みでアクセスできる悪意のある攻撃者は、カタログ API への特別に細工されたクエリーを使用してサービスを中断させることができます。
- CVE-2024-45816
- backstage/plugin-techdocs-backend パッケージでディレクトリートラバーサルの脆弱性が見つかりました。TechDocs に AWS S3 または GCS ストレージプロバイダーを使用する場合は、ストレージバケット全体のコンテンツにアクセスできます。これにより、アクセスが意図されていないバケットのコンテンツをリークしたり、Backstage でのパーミッションチェックを回避したりできます。
- CVE-2024-46976
- backstage/plugin-techdocs-backend パッケージに欠陥が見つかりました。TechDocs ストレージバケットのコンテンツを制御できる攻撃者は、TechDocs コンテンツに実行可能なスクリプトを注入し、被害者がドキュメントを閲覧したり、攻撃者提供のリンクに移動したりする際に、そのスクリプトが被害者のブラウザーで実行される可能性があります。
- CVE-2024-47762
- backstage/plugin-app-backend パッケージに欠陥が見つかりました。APP_CONFIG_* 環境変数で指定される設定では、設定スキーマで定義された可視性が予期せず無視され、非公開またはバックエンドプロセスに限定される機密性の高い設定の詳細が公開される可能性があります。
第7章 既知の問題 リンクのコピーリンクがクリップボードにコピーされました!
このセクションには、Red Hat Developer Hub 1.4 の既知の問題が記載されています。
7.1. ボリューム (PVC) のマルチアタッチエラー リンクのコピーリンクがクリップボードにコピーされました!
現在、Helm チャートを使用して Developer Hub をデプロイする場合、2 つのレプリカを別のクラスターノードで実行できません。これは、新しい Pod が別のノードでスケジュールされている場合、1.3 から 1.4.0 へのアップグレードにも影響を与える可能性があります。
考えられるアップグレードの回避策は、Helm リリースをアップグレードする前に、レプリカ数を手動で 0 にスケールダウンすることです。または、Helm リリースのアップグレード後に古い Developer Hub Pod を手動で削除します。ただし、これはアプリケーションのダウンタイムを意味します。Pod のアフィニティールールを利用して、クラスタースケジューラーが同じノードで Developer Hub Pod を実行するように強制することもできます。
関連情報
7.2. RBAC フロントエンド UI にトポロジープラグインのパーミッションが表示されない リンクのコピーリンクがクリップボードにコピーされました!
フロントエンドプラグインにのみ関連付けられたパーミッションは、パーミッションフレームワークのよく知られているエンドポイントを公開するためにバックエンドプラグインが必要になるため、UI には表示されません。回避策として、CSV ファイルを使用するか、RBAC バックエンドプラグインの REST API を直接呼び出すことで、これらのパーミッションを適用できます。影響を受けるプラグインには、Topology (topology.view.read)、Tekton (tekton.view.read)、ArgoCD (argocd.view.read)、および Quay (quay.view.read) が含まれます。
関連情報