Cardano の軽いデータノード Dolos を作る TxPipe は11月3日夜（日本時間）、v1 の長期サポート（LTS）版の保守パッチ v1.6.3 を出しました。依存する Rust のライブラリ tokio と zstd 系を更新して、RustSec に載った5件のセキュリティの勧告に対応したもので、TxPipe は v1 を使う全員に更新を勧めています。
直したのは Dolos 自身のコードではなく、Dolos が組み込んでいる外部のライブラリです。それでもノードを動かす側にとっては、自分の環境で古いライブラリが動いたままにならないよう、早めに入れておく種類の更新です。何が更新され、何に気をつければよいかを整理します。
v1.6.3 で更新された5件の勧告
リリースノートが示す変更（GitHub の #1557）によると、更新したライブラリと対応した勧告は次のとおりです。
- tokio 1.52.3 → 1.53.3: RUSTSEC-2026-0386。非同期の入出力で使う AsyncFd の作り方の一部が、Rust の入出力の安全の約束を守っていなかった問題
- zstd 0.13.3 → 0.13.4: RUSTSEC-2026-0391。途中で捨てた圧縮の流れのデータが、使い回した次の流れに混ざる問題
- zstd-safe 7.2.4 → 7.4.0: RUSTSEC-2026-0398 と 0403。範囲外の位置を指定して展開すると、確保した領域を超えた長さを扱ってしまう問題（0398）と、古い形式のデータの展開に失敗したときに、初期化されていないメモリが見えてしまう問題（0403）
- zstd-sys → 2.1.2: RUSTSEC-2026-0410。WebAssembly（wasm32）で、メモリの確保に失敗したときにメモリを壊す問題
zstd はデータの圧縮と展開のライブラリで、Dolos には Mithril（チェーンのスナップショットを配る仕組み）を通じて入っています。勧告は10月下旬に RustSec のデータベースに載ったもので、Dolos の v1 の系統では、依存関係の検査（cargo deny）がこの5件で通らなくなっていました。
勧告の中身と、Dolos への影響の読み方
5件はいずれも外部のライブラリの勧告で、リリースノートは Dolos の使い方がそれぞれの問題に当てはまるかどうかまでは書いていません。たとえば 0410 は wasm32 という実行の環境に限った問題で、Linux や macOS の上でふつうに動かす Dolos には当たらない種類のものです。
一方で、どの勧告が自分の環境に当てはまるかを1件ずつ調べるより、パッチの入った版に上げてしまうほうが確実です。TxPipe が「v1 の利用者全員に推奨」としたのは、その判断を利用者に任せない書き方です。
同じ版では、Cardano のライブラリ群 Pallas も 1.3.0 から 1.4.0 に上がりました。Pallas 1.4.0 には、メタデータ・Plutus のデータ・Dijkstra のネイティブスクリプトの処理で、スタックがあふれないようにする修正が入っています。次のハードフォーク Dijkstra に向けたテストネットは、11月2日にプロトコル 12 へ移ったところです（11月4日の Signal）。
運用する人が見ておくこと
1つ目は、使っている系統です。Dolos の安定版は今も v1 の系統だけで、v2 はまだ試験版（v2.0.0-alpha.0）の段階です。v1.6.3 は v1 の LTS の保守パッチなので、v1 を本番で動かしている人が対象になります。
2つ目は、コンテナのイメージの latest タグです。前の版の v1.6.2 を出したとき、latest タグが開発の本線のイメージから v1.6.2 のイメージに移ってしまっていました。v1.6.3 ではこれを直し、latest は開発の本線だけを指すようになりました。latest を引いて動かしている環境では、どの版が動いているかを一度確かめておくと安心です。v1 の系統を使い続けるなら、v1 や v1.6 のタグを指定する形が引き続き使えます。
TxPipe は10月下旬にも、eMudhra の中間認証局を信頼しない修正版を、4つの製品で出しています（10月23日の Signal）。依存するものの安全の問題に、LTS の系統でも続けて手当てしている流れです。
次に確かめる点
v1.6.3 は、Dolos の GitHub のリリースのページにあるインストール用のスクリプト・Homebrew・npm のどれからでも入れられます。次に見るのは、同じリリースのページで v2 の安定版が出る時期と、Dijkstra のメインネットでの有効化に向けて v1 の系統がどこまで保守されるかです。Dijkstra の日程が固まった段階で、TxPipe がどちらの系統を対応版とするかが、運用する人にとっての次の判断材料になります。
ことば
- Dolos — TxPipe が作る Cardano のデータノード。チェーンのデータを取り込んで API で返すことに絞った軽いノードで、アプリやツールがチェーンを読むための取り口になります。
- RustSec — Rust のライブラリのセキュリティの勧告を集めたデータベース。cargo deny などの道具で自分のプロジェクトの依存関係を照らし合わせられるので、今回のように勧告が出た時点で更新に気づけます。
- LTS（長期サポート） — 新しい機能は足さず、修正だけを長く出し続ける版の系統。v2 の開発が進む間も、本番で v1 を動かす人が安全な状態を保てるようにするためのものです。
一次ソース / 関連リンク
- TxPipe 公式 X の告知（Dolos v1.6.3）
https://x.com/txpipe_tools/status/2117622334353711217
Dolos v1.6.3 のリリースノート（GitHub）（GitHub）
GitHub
RustSec の勧告 RUSTSEC-2026-0391（zstd）（rustsec.org）
RustSec の勧告 RUSTSEC-2026-0386（tokio）（rustsec.org）
