Zulip Server 4.10 セキュリティリリース 重要情報: - 重要なセキュリティ修正およびバグ修正を含むセキュリティリリースである がリリースされました。これは Zulip Server 4.9 以降の変更を含みます。 アップグレード手順: - すべての導入環境で強く推奨されます。Zulip 公式サイトにアップグレードドキュメントが用意されています。サポートは で提供されます。 オペレーティングシステムに関する注意: - 重要な Zulip 依存パッケージに対する上位リリースからのセキュリティサポートが提供されていないため、Ubuntu 18.04 Bionic のサポートを終了（デPRECATED）しました。Ubuntu 18.04 上で稼働している Zulip サーバーのアップグレードを推奨します。OS アップグレード用のドキュメントが提供されています。 注目すべき変更点: - 修正済み: - 再利用可能な招待リンクの脆弱性（ ）：他の組織に対して悪用される可能性があった。 - API キーによる API キーの再生成を強制し、Cookie を使用しないようにした（ ）。 - ツールの不具合修正：必要なライブラリを時折見つけられなかった。 - PGronga がデータベースクエリに影響を与える回帰問題を避けるため、PostgreSQL を特定バージョンに固定した。 - ARM64 サポート（ただし wal-g バイナリは現在未サポート）。 CVE-2022-21706 の詳細: - 再利用可能な招待リンクに関連する脆弱性：招待状がなくても組織にJoinできてしまい、ドメイン制限の回避や権限昇格のリスクがあった。 - のように複数の Zulip 組織をホストしている導入環境でのみ影響を受ける。 - 調査の結果、開示前にアクティブな悪用が行われた証拠は見つからなかった。Zulip のサポート契約を締結している顧客は支援を依頼可能。