릴리스

조치 필요 (7)

• securityhighcom.fasterxml.jackson.core:jackson-databind 갱신

  com.fasterxml.jackson.core:jackson-databind를 갱신했습니다.

• securitymedium관리자 자격 증명 삭제 권한 검사 수정

  관리자 자격 증명을 삭제할 때 거부된 비밀번호 재설정 권한을 우회하던 문제를 수정했습니다.

• securitymedium영역 간 리소스 접근 수정

  RealmCacheSession의 요청별 세션 수준 캐시로 다른 영역의 영역 리소스를 읽거나 쓸 수 있던 문제를 수정했습니다.

• securitymedium사용자 갱신 시 비밀번호 재설정 권한 검사 수정

  일반 사용자 갱신이 거부된 비밀번호 재설정 권한을 우회하던 문제를 수정했습니다.

• securitytools.jackson.core:jackson-databind 갱신

  tools.jackson.core:jackson-databind에 포함된 여러 보안 문제에 대응하도록 의존성을 갱신했습니다.

• securitysimple-git 갱신

  simple-git에 포함된 여러 보안 문제에 대응하도록 의존성을 갱신했습니다.

• security빈 비밀번호 인증 시 사용자 이름 노출 수정

  빈 비밀번호를 사용한 인증 시도 시간 차이로 사용자 이름을 추측할 수 있던 문제를 수정했습니다.

조치 필요 (4)

• breakingConnect 이미지 빌드 도구 변경

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  Connect 이미지 빌드에서 Kaniko가 제거되고 Buildah만 사용됩니다.

• breakingUseConnectBuildWithBuildah 기본 활성화

  UseConnectBuildWithBuildah 기능 게이트가 정식 단계로 전환되고 기본적으로 활성화됩니다. 이제 비활성화할 수 없습니다.

• breakingUseBackgroundPodDeletion 기본 활성화

  UseBackgroundPodDeletion 기능 게이트가 베타 단계로 전환되고 기본적으로 활성화됩니다. 필요한 경우 Cluster Operator의 기능 게이트 설정에서 비활성화할 수 있습니다.

• breakingKubernetes 최소 지원 버전 상향

  지원되는 Kubernetes 버전은 1.32 이상으로 제한됩니다. Kubernetes 1.30과 1.31은 더 이상 지원되지 않습니다.

조치 필요 (1)

• securitylowwasmtime 의존성 버전 업데이트

  wasm에서 wasmtime을 24.0.10으로 올려 CVE-2026-54786을 해결했습니다.

조치 필요 (1)

• securitylowwasmtime 의존성 업데이트

  wasm에서 CVE-2026-54786을 해결하기 위해 wasmtime을 24.0.10으로 업데이트했습니다.

조치 필요 (1)

• securitylowwasmtime 보안 업데이트

  wasmtime을 24.0.10으로 업데이트해 CVE-2026-54786을 해결했습니다.

조치 필요 (1)

• breaking중복 View Connection 링크 제거

  연결 생성 알림에서 중복으로 표시되던 View Connection 링크를 UI에서 제거했습니다.

영향 확인 (5)

• securityauth_users 우회 문제 수정

  auth_users를 설정한 경우 적용됩니다.

• breakingmax_ha_assets 제한 적용 일관화

  max_ha_assets를 설정한 경우 적용됩니다.

• breaking기존 $GR. 응답 접두사 지원 제거

  기존 $GR. 응답 접두사를 사용하는 경우 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (1)

• breaking클라이언트 인그레스의 $GR. 응답 접두사 예약

  클라이언트 인그레스에서 레거시 $GR. 응답 접두사를 예약합니다. 클라이언트가 이 접두사를 사용하는 게이트웨이 응답 주제에 메시지를 게시하지 못하게 변경되었습니다. #8615에 해당합니다.

영향 확인 (3)

• breaking레거시 서명 콘텐츠 가져오기 기본 허용

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breaking사설 네트워크 접근 허용 기본값 변경

  allow_private_network_access를 설정하지 않은 경우 적용됩니다.

• breaking마이그레이션 템플릿의 사설 네트워크 접근값 반영

  allow_private_network_access를 설정하지 않은 경우 적용됩니다.

조치 필요 (1)

• security조율된 보안 수정 사항 반영

  release-3.4에 조율된 보안 수정 사항을 반영했습니다. 변경은 커밋 4bc8085b0a6d2296b849539d3d09fc7be7a4a511과 이슈 #30039에 해당합니다.

조치 필요 (1)

• security조정된 보안 수정 반영

  release-3.5에 조정된 보안 수정이 반영되었습니다.

조치 필요 (1)

• securityhighgRPC 의존성 업데이트

  google.golang.org/grpc를 v1.83.2로 업데이트해 [GO-2026-6443](https://pkg.go.dev/vuln/GO-2026-6443)를 해결했습니다.

영향 확인 (4)

• breakingHelm OCI 차트 태그의 v 접두사 제거

  스크립트나 도구에서 Helm OCI 차트 태그를 참조하는 경우에 적용됩니다.

• breakingCeph msgrv2 기본 요구 사항 변경

  구형 커널 때문에 msgrv2를 사용할 수 없는 경우에 적용됩니다.

• breakingNFS 설치에서 .nfs 풀 자동 생성 제거

  새 NFS 설치를 만드는 경우에 적용됩니다.

• 릴리스 페이지에 1건 더

영향 확인 (2)

• securityoauth2 필터의 CONNECT 요청 충돌 수정

  이 변경은 :path 헤더가 없는 CONNECT 요청에 적용됩니다.

• securityapi_key_auth 인증 처리 중 충돌 수정

  이 변경은 hide_credentials가 query 키 소스와 함께 활성화된 경우에 적용됩니다.

영향 확인 (2)

• securityoauth2의 :path 없는 요청 처리 수정

  oauth2 필터를 사용하는 경우 적용됩니다.

• securityapi_key_auth의 특정 CONNECT 요청 충돌 수정

  hide_credentials를 활성화하고 query 키 원본과 함께 api_key_auth를 사용하는 경우 적용됩니다.

영향 확인 (2)

• securityoauth2 필터의 :path 없는 요청 충돌 수정

  oauth2 필터에 :path 헤더가 없는 요청이 들어오는 경우에 적용됩니다.

• securityapi_key_auth 필터의 인증 요청 충돌 수정

  hide_credentials가 활성화되어 있고 키 소스가 query이며, :path 헤더가 없는 요청이 다른 키 소스로 인증되는 경우에 적용됩니다.

조치 필요 (1)

• breakingai-sidecar 기본 mcp 주소 변경

  ai-sidecar의 기본 mcp 주소가 query 포트 16686을 가리키도록 변경되었습니다.

영향 확인 (2)

• securityoauth2의 :path 없는 요청 처리

  oauth2 확장 기능을 사용하는 경우에 적용됩니다.

• securityapi_key_auth 인증 처리 중 충돌 수정

  api_key_auth 확장 기능을 사용하고 hide_credentials와 query를 설정한 경우에 적용됩니다.

조치 필요 (16)

• security배포 엔드포인트 경로 탐색 취약점 수정

  배포 엔드포인트의 경로 탐색 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-qj39-pjf2-wmrc입니다.

• security시스템 로봇 권한 상승 차단

  user:update 권한을 가진 시스템 로봇이 시스템 관리자가 될 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-w5fq-xrhj-j7g2입니다.

• security로봇 전역 권한 오용 차단

  모든 프로젝트 범위의 로봇 설정이 전역 와일드카드로 축소되면서 부여할 수 없어야 하는 robot:update 권한을 얻고, 프로젝트 간 로봇 탈취와 소유자 잠금이 가능했던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-xq2m-cj8w-56v5입니다.

• security외부 인증 프록시 관리자 권한 상속 수정

  admin이라는 이름의 외부 인증 프록시 신원이 레지스트리 시스템 관리자 권한을 물려받던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-xvh7-74g6-29xw입니다.

• security불변 태그 규칙 우회 차단

  불변 태그 규칙의 일치 검사가 첫 번째 저장소 및 태그 선택자만 확인해 여러 선택자로 구성된 규칙을 우회할 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-27f2-qg57-2gwg입니다.

• security웹훅 전달 서버 측 요청 위조 수정

  웹훅 전달 과정에서 프로젝트 관리자가 내부 서비스와 클라우드 메타데이터 엔드포인트에 접근할 수 있던 서버 측 요청 위조 문제를 수정했습니다. 관련 권고 식별자는 GHSA-2phj-cp9f-qq6w입니다.

• security스캐너 인증 요청의 TLS 검증 및 응답 처리 수정

  스캐너 전달자 인증 요청에서 TLS 검증을 끄고 전체 응답 본문을 읽던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-884q-mjcg-86x4입니다.

• security웹훅 오류 응답의 무제한 압축 해제 차단

  웹훅 오류 응답으로 Jobservice에서 압축 해제가 제한 없이 수행될 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-jw3v-7jvc-pfmx입니다.

• security레지스트리 청크 업로드의 위치 헤더 검증

  레지스트리 청크 업로드에서 검증되지 않은 Location 헤더를 재사용하던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-wjpm-hv5w-gxr6입니다.

• security취약점 및 Content-Trust pull 정책 우회 차단

  공격자가 제어하는 User-Agent 헤더로 취약점 및 Content-Trust pull 정책을 우회할 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-wrw5-gmvj-gf23입니다.

• security레지스트리 복제 페이지 매김 헤더 처리 수정

  레지스트리 복제 클라이언트에서 공격자가 제어하는 페이지 매김 Link 헤더를 이용해 서버 측 요청 위조와 자격 증명 노출이 가능했던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-xgp2-5vxg-rgh2입니다.

• securityAuthMode 조회 실패 뒤 보안 처리 수정

  AuthMode 조회에 실패해도 보안 미들웨어가 계속 실행되던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-3x7c-wf86-mjx6입니다.

• security로봇 이름 접두사를 이용한 프록시 캐시 오염 차단

  로봇 이름 접두사로 프록시 캐시를 오염시킬 수 있던 문제를 막았습니다.

• securityGo 의존성 업데이트

  CVE를 수정하기 위해 Go 의존성을 업데이트했습니다.

• breaking매니페스트 업로드 크기 제한

  매니페스트 업로드에 크기 제한을 추가했습니다.

• breaking감사 로그 페이로드 크기 제한

  감사 로그 페이로드에 크기 제한을 추가했습니다.

조치 필요 (1)

• breakingqcow2 외부 데이터 파일 참조 거부

  qemuimgutil이 qcow2 외부 데이터 파일 참조를 거부합니다.

조치 필요 (2)

• securityhighgRPC 의존성 보안 업데이트

  google.golang.org/grpc를 v1.83.1로 올려 HTTP/2 DATA 프레임 조각화로 발생하는 메모리 고갈 문제를 수정했습니다. 관련 보안 권고 식별자는 GO-2026-6348입니다.

• securityUI 의존성 보안 업데이트

  UI에서 취약한 npm 의존성을 업데이트했습니다.

조치 필요 (1)

• breaking릴리스 번들 SBOM 형식 변경

  릴리스 번들의 SBOM이 SPDX 2.3 태그 값 형식의 .spdx 파일에서 SPDX 3.0.1 JSON-LD 형식의 .spdx.json 파일로 변경되었습니다.

조치 필요 (2)

• breakingkms와 route53의 AWS 관리 리소스 제외

  kms와 route53의 작업 대상에서 AWS가 관리하는 리소스를 제외합니다.

• breakingaws.cloudwatch-dashboard의 rename-tag 작업 제거

  aws.cloudwatch-dashboard에서 rename-tag 작업을 제거했습니다.

조치 필요 (1)

• securitymediumCVE-2026-35189에 대응한 TLS 인증서 처리 수정

  BoringSSL을 업데이트해 nameRelativeToCRLIssuer CRL Distribution Points가 포함된 인증서를 파싱할 때 과도한 메모리를 할당하던 문제를 수정했습니다. 이 문제는 TLS 핸드셰이크 중 원격 서비스 거부 공격에 악용될 수 있었습니다.

조치 필요 (2)

• securitymediumBoringSSL 인증서 파싱 취약점 수정

  인증서의 nameRelativeToCRLIssuer CRL Distribution Points를 파싱할 때 메모리를 과도하게 할당하던 BoringSSL을 수정했습니다. 이 문제는 TLS 핸드셰이크 중 원격 서비스 거부 공격에 악용될 수 있습니다. CVE-2026-35189 수정은 --config=boringssl-fips 설정의 BoringSSL FIPS 빌드에는 적용되지 않습니다.

• breakingDebian bullseye 패키징 제거

  수명 주기가 끝나 주 Debian 미러에서 저장소를 더 이상 제공하지 않는 Debian bullseye (11) 패키징을 제거했습니다.

조치 필요 (1)

• breakingDebian bullseye (11) 패키징 제거

  수명이 끝나 주 Debian 미러에서 저장소를 더 이상 제공하지 않는 Debian bullseye (11) 패키징을 제거했습니다.