RATATOSKRATATOSK
로그인

cert-manager

v1.21.2Security
2026년 9월 11일

ACTION 6CHECK 1OTHER 12

정확성 보정과 데이터 노출 방지에 초점을 둔 유지보수 릴리스입니다. 보안 관련 의존성을 갱신하고 네임스페이스가 지정된 Vault 인증의 기본 동작을 더 엄격하게 조정했습니다.

조치 필요 (6)

  • securityACME 서버 응답 본문 크기 제한

    ACME 서버 응답 본문 크기를 16 MiB로 제한해 본문 크기가 끝없이 커지는 서비스 거부 공격을 막습니다.

  • securityHTTP-01 자체 점검 응답 내용 기록 차단

    ACME HTTP-01 자체 점검에서 가져온 응답 본문을 Challenge.status.reason에 더 이상 기록하지 않습니다. 리디렉션으로 접근할 수 있는 내부 응답 내용이 노출되지 않도록 수정했습니다.

  • securityGo 1.26.6으로 업데이트

    Go를 1.26.6으로 올렸습니다. 여기에는 go 명령과 crypto/tls, encoding/asn1, encoding/xml, html/template, net, net/http, net/url 패키지의 보안 수정이 포함됩니다.

  • securitygoogle.golang.org/grpc v1.83.2로 업데이트

    보고된 보안 취약점을 수정하기 위해 google.golang.org/grpc를 v1.83.2로 올렸습니다.

  • securitygolang.org/x/crypto v0.56.0으로 업데이트

    보고된 보안 취약점을 수정하기 위해 golang.org/x/crypto를 v0.56.0으로 올렸습니다.

  • breaking변환된 AdmissionReview 요청 검증 적용

    적용 대상이 릴리스 노트에 명시되지 않았습니다.

    v1이 아닌 API 버전의 요청도 동등한 형태로 변환된 뒤 검증합니다. 이전에는 이런 요청에서 검증이 건너뛰어질 수 있었습니다.

영향 확인 (1)

  • breakingnamespaced Issuer의 Vault AWS IAM 인증 기본값 변경

    네임스페이스가 지정된 Issuer에서 Vault AWS IAM 인증을 사용하는 경우 적용됩니다.

    네임스페이스가 지정된 Issuer에서 Vault AWS IAM 인증을 사용하는 경우 적용됩니다.

그 외 기록된 변경 12건 전체fixes 11 · value changes 1

fixes (11)

  • ACME Issuer response bodies are no longer reflected into Issuer status conditions or Kubernetes Events. Only ACME problem documents are surfaced (bounded in length); other responses are reported by HTTP status code alone, with the full error available in the controller logs.
  • De-duplicate dnsNames when multiple Gateway/ListenerSet listeners share a Secret
  • Fix certificate renewal windows using February 29 cron schedules across non-leap century years.
  • Fix validating webhook panics when AdmissionReview requests omit optional fields, by routing identity, approval, and resource validation on the always-present Resource/SubResource fields
  • Fixed HTTP-01 solver cleanup so that a solver ingress, pod or service that has already been deleted no longer fails the cleanup with a NotFound error.
  • Fixed a bug where replaces field was being populated for the wrong issuer on issuer changes
  • Fixed a data race in the ACME HTTP-01 self-check that could occur when custom DNS servers were configured.
  • Fixed a panic in the certificates-issuing controller when a CertificateRequest has a failure time set but no Ready condition.
  • Fixed a race in pkg/scheduler where the cleanup of a fired timer could cancel a newer timer scheduled for the same object, silently dropping a rescheduled poll.
  • Fixed an issue where the body of a non-Vault HTTP response from spec.vault.server could be copied into the Vault Issuer's Ready condition and its Kubernetes Events. Such responses now report only the HTTP status code, and Vault's own error messages are truncated before being persisted.
  • Ingress-shim no longer removes the applyset label from cached Ingress and Gateway objects

value changes (1)

  • Upgrade Go to 1.26.8.
cert-manager 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗cert-manager 릴리스 전체 →