CloudNativePG

v1.28.3Storage & Data

2026년 5월 8일

보안 대응을 중심으로 의존성 보완과 장애 조정 및 설정 정확성 수정이 이뤄진 유지보수 릴리스입니다. 모니터링 인증 역할이 바뀌고 설정 값 검증이 엄격해졌습니다.

조치 필요 (4)

securitycriticalgithub.com/jackc/pgx/v5 의존성 업데이트
github.com/jackc/pgx/v5를 v5.9.2로 올려 pgproto3의 메모리 안전성 문제인 CVE-2026-33816과 단순 프로토콜의 달러 인용 문자열 처리에서 발생하는 SQL 삽입 문제인 GHSA-j88v-2chj-qfwx에 대한 상위 프로젝트 수정 사항을 반영했습니다.
securityhighGo 1.26.3 기반 빌드
crypto/x509, crypto/tls, net/http, net의 상위 프로젝트 수정 사항을 반영하도록 Go 1.26.3으로 빌드했습니다. CVE-2026-32280, CVE-2026-32281, CVE-2026-33810, CVE-2026-33814, CVE-2026-33811, CVE-2026-39825에 대응합니다.
securityhighcmd/go 모듈 체크섬 검증 보완
Go 1.26.3 업데이트에 cmd/go의 모듈 체크섬 검증 수정 사항도 포함되어 릴리스 빌드 과정의 공급망 노출을 줄입니다. CVE-2026-42501에 대응합니다.
securitysearch_path를 따르는 비한정 참조 해석
비한정 참조는 사용자가 조작할 수 있는 search_path를 따라 해석되며, 이로 인해 기본 객체를 다른 객체로 가릴 수 있습니다.

securitycritical메트릭 익스포터 인증 역할 변경
메트릭 익스포터가 실행 중인 경우 적용됩니다.
메트릭 익스포터가 postgres 슈퍼유저로 인증하지 않고, pg_monitor 권한만 가진 전용 cnpg_metrics_exporter 역할을 사용합니다. 낮은 권한의 데이터베이스 사용자가 PostgreSQL 슈퍼유저 권한을 얻을 수 있던 경로를 차단합니다.

그 외 기록된 변경 10건 전체fixes 8 · additions 1 · value changes 1

Fixed a failover window where the former primary kept its primary label.
Fixed failover not being triggered when the node hosting the primary becomes unreachable.
Fixed spurious failovers caused by transient failures on the primary's HTTP status endpoint.
Fixed escaping of backslashes and control characters in PostgreSQL configuration values.
Fixed restore_command construction to shell-quote each argument.
Malformed values are rejected at admission instead of failing later during PostgreSQL recovery.
Fixed snapshot restores failing when leftover pgsql_tmp* directories were present in the data directory.
Fixed a deadlock occurring when PVC storage size and resource requests are changed simultaneously.

SBOM and SLSA provenance attached to operator container images now follow the OCI 1.1 Referrers spec, so standard registry tooling and supply-chain scanners can discover them automatically.

Switched TLS peer verification from VerifyPeerCertificate to VerifyConnection, which runs on every completed handshake (the former is skipped on resumed TLS 1.3 sessions).

CloudNativePG 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.