Cilium
v1.18.8Networking & MessagingCilium v1.18.8은 버그 수정 패치지만, GKE 사용자는 XDP 회귀 문제로 이 버전을 반드시 건너뛰어야 합니다.
breakingGKE 사용자: v1.18.8 배포 금지
XDP jumbo MTU 지원(PR #44499)이 GKE 환경에서 회귀를 일으킵니다. GKE 클러스터라면 이 버전은 건너뛰고 v1.19.2로 직접 업그레이드하세요. v1.18.8을 GKE에 배포하면 네트워크 장애가 발생할 수 있습니다. 다른 환경의 사용자는 영향받지 않습니다.
securityEnvoy 어드민 소켓 권한 노출 — 즉시 업그레이드 필요
Envoy 어드민 소켓이 world-readable/writable 권한으로 생성되어, 노드상의 모든 프로세스가 접근할 수 있었습니다. v1.18.8에서 수정됐습니다. L7 정책이나 Envoy 기반 기능을 사용 중이라면 빠르게 업그레이드하세요. 기존 노드에서는 /var/run/cilium/envoy/sockets/ 경로의 소켓 권한을 직접 확인해 보는 것이 좋습니다.
enhancementL7 LB 정책 우회 및 FQDN SNI 수정 — 정책 적용 신뢰성 개선
정책 집행 관련 버그 두 가지가 수정됐습니다. 첫째, L7 LB 환경에서 로컬 백엔드가 인그레스 정책을 우회할 수 있었습니다. 둘째, SNI 기반 매칭 사용 시 와일드카드 FQDN 정책이 Envoy로 전달되지 않는 문제가 있었습니다. L7 로드밸런싱이나 SNI FQDN 네트워크 정책을 운영 중이라면 실질적인 보안 허점이 닫히는 만큼 업그레이드를 우선순위에 두세요.
주요 변경 (5)
- GKE 사용자 주의: 알려진 회귀 문제로 v1.18.8 배포 금지, v1.19.2로 직접 업그레이드 필요
- 보안 수정: Envoy 어드민 소켓이 누구나 접근 가능한 권한(world-accessible)으로 생성되던 문제 해결
- SNI 기반 정책 사용 시 와일드카드 FQDN 네트워크 정책 ID가 Envoy에 전달되지 않던 버그 수정
- L7 로드밸런서에서 로컬 백엔드의 인그레스 정책 우회 버그 수정
- 여러 EndpointSlice가 같은 이름을 공유할 때 주소 삭제가 누락되던 문제 수정