cert-manager

v1.21.3Security

2026년 10월 23일

손상된 인증 기관의 신뢰를 제거하고 취약한 의존성을 갱신한 보안 유지보수 릴리스입니다. ACME, 시크릿 처리, Helm 렌더링의 결함도 수정했습니다.

조치 필요 (6)

security손상된 중간 인증서를 거치는 인증서 체인 거부
Go 1.26.10의 crypto/x509이 손상된 중간 인증서를 거치는 인증서 체인을 거부합니다. CVE-2026-111943과 GO-2026-6809에 해당하는 취약점이 반영되었습니다.
CVE-2026-111943
securityGo 1.26.9 업데이트
Go를 1.26.9로 올려 crypto/tls, net/http, net/textproto, html/template 패키지의 CVE를 수정했습니다.
securityGo 1.26.10 업데이트
Go를 1.26.10으로 올려 crypto/x509 패키지의 CVE를 수정했습니다.
securitygolang.org/x/net 업데이트
golang.org/x/net을 v0.60.0으로 올려 보고된 보안 취약점을 수정했습니다.
securityOpenTelemetry OTLP 내보내기 모듈 업데이트
go.opentelemetry.io/otel/exporters/otlp/otlptrace와 otlptracegrpc를 v1.45.0으로 올려 보고된 보안 취약점을 수정했습니다.
security손상된 루트 인증서 제거
distroless 기본 이미지를 업데이트하면서 손상된 emSign ECC Root CA - G3 루트 인증서를 제거했습니다.

security다음 개인 키 Secret 사용 조건 강화
status.nextPrivateKeySecretName을 사용하고 cert-manager.io/next-private-key 라벨이 설정된 경우에 적용됩니다.
requestmanager와 issuing 컨트롤러는 이제 status.nextPrivateKeySecretName으로 지정된 Secret이 cert-manager.io/next-private-key 라벨을 가지고 Certificate가 소유한 경우에만 사용합니다. 이 동작은 keymanager 컨트롤러가 이미 적용하던 조건과 일치합니다.

그 외 기록된 변경 2건 전체fixes 2

- Added status.acme.ari.certID to track issuance of new certs and re-fetch ARI from CA. This fixes a renewal loop where a stale ARI window from the previous certificate triggered repeated re-issuance until the CA rate limit was hit. (#9292, @hjoshi123)
- Helm chart: quote the http_proxy, https_proxy and no_proxy values when rendering the controller Deployment env vars, so values like *.example.com no longer break the manifest. (#9407, @pujitha24)

cert-manager 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.