发布日期: 2025-04-18
版本号: v3.4.0-rc2

本次更新修复了CVE-2025-32431、CVE-2025-22868和CVE-2025-22871等安全漏洞。重要变更包括从v3.4.0-rc2版本起，请求路径在匹配路由规则和发送到后端之前会被清理，解释并折叠路径中的/../、/./或重复斜杠段。此外，还进行了bug修复，如移除Kubernetes CRD中的默认负载平衡策略、限制Ingress CRD资源中HTTP状态码的正则验证，以及将github.com/redis/go-redis依赖升级到v9.7.3版本。

更新内容 （中文）

修复的CVE漏洞：

重要说明：

自 v3.4.0-rc2 版本起，传入的请求路径现在会在用于匹配路由器规则和发送到后端之前进行清理。请求路径中的任何 /../、/./ 或重复的斜杠段都将被解释和/或折叠。

请查阅 迁移指南。

错误修复：

  • [k8s/crd] 从CRD中移除默认负载均衡策略（#11701，由 @kevinpollet 提交）
  • [k8s/crd] 限制Ingress CRD资源HTTP状态码的正则验证（#11670，由 @jnoordsij 提交）
  • 升级 github.com/redis/go-redis/v9 至 v9.7.3 版本（#11687，由 @kevinpollet 提交）

更新内容 （原始）

CVE’s fixed:

Important:

Since v3.4.0-rc2, the incoming request path is now cleaned before being used to match the router rules and sent to the backends. Any /../, /./ or duplicate slash segments in the request path is interpreted and/or collapsed.

Please read the migration guide.

Bug fixes:

  • [k8s/crd] Remove default load-balancing strategy from CRD (#11701 by kevinpollet)
  • [k8s/crd] Restrict regex validation of HTTP status codes for Ingress CRD resources (#11670 by jnoordsij)
  • Bump github.com/redis/go-redis/v9 to v9.7.3 (#11687 by kevinpollet)

下载链接