RATATOSKRATATOSK
로그인

CloudNativePG

v1.29.1Storage & Data
2026년 5월 8일

ACTION 5CHECK 1OTHER 10

권한 축소, 여러 CVE 대응, 공급망 보완, 장애 조치와 설정 정확성 수정이 포함된 보안 중심 유지 보수 릴리스입니다. 일부 모니터링 구성에는 권한 부여가 필요하며, 업그레이드 순서를 지켜야 하는 변경도 있습니다.

조치 필요 (5)

  • securitycritical메트릭 익스포터 인증 권한 축소

    메트릭 익스포터는 더 이상 postgres 슈퍼유저로 인증하지 않습니다. 대신 cnpg_metrics_exporter 전용 역할을 사용하며 pg_monitor 권한만 부여되어, 낮은 권한의 데이터베이스 사용자가 PostgreSQL 슈퍼유저 권한을 얻을 수 있던 경로를 차단합니다.

  • securitycriticalgithub.com/jackc/pgx/v5 버전 갱신

    github.com/jackc/pgx/v5를 v5.9.2로 올렸습니다. 이 버전에는 pgproto3의 메모리 안전성 문제인 CVE-2026-33816과 단순 프로토콜의 달러 인용 문자열 처리에서 발생하는 SQL 삽입 문제인 GHSA-j88v-2chj-qfwx에 대한 상위 프로젝트 수정이 포함됩니다.

  • securityhighGo 1.26.3 빌드 적용

    Go 1.26.3으로 빌드해 crypto/x509, crypto/tls, net/http, net의 상위 프로젝트 수정 사항을 반영했습니다.

  • securityhigh릴리스 빌드의 모듈 체크섬 검증 보완

    Go 1.26.3 갱신에는 cmd/go의 모듈 체크섬 검증 문제인 CVE-2026-42501에 대한 수정도 포함되어 릴리스 빌드 중 공급망 노출을 줄입니다.

  • securitysearch_path 기반 참조 처리 변경

    정규화되지 않은 참조는 search_path를 따라 해석되며, 데이터베이스 사용자가 이를 조작해 내장 객체를 가릴 수 있습니다.

영향 확인 (1)

  • securitycritical사용자 지정 모니터링 쿼리의 명시적 권한 부여

    사용자 소유 테이블을 읽는 사용자 지정 모니터링 쿼리를 사용하거나, PUBLIC CONNECT가 철회된 데이터베이스에 target_databases: '*'를 적용하는 경우에 해당합니다.

    사용자 소유 테이블을 읽는 사용자 지정 모니터링 쿼리나 PUBLIC CONNECT가 철회된 데이터베이스를 대상으로 하는 target_databases: '*' 설정에는 cnpg_metrics_exporter에 대한 명시적인 GRANT 문이 필요합니다.

그 외 기록된 변경 10건 전체fixes 8 · value changes 2

fixes (8)

  • Fixed a failover window where the former primary kept its primary label.
  • Fixed failover not being triggered when the node hosting the primary becomes unreachable.
  • Fixed spurious failovers caused by transient failures on the primary's HTTP status endpoint.
  • Fixed escaping of backslashes and control characters in PostgreSQL configuration values.
  • Fixed restore_command construction to shell-quote each argument.
  • Malformed values are rejected at admission instead of failing later during PostgreSQL recovery.
  • Fixed snapshot restores failing when leftover pgsql_tmp* directories were present in the data directory.
  • Fixed a deadlock occurring when PVC storage size and resource requests are changed simultaneously.

value changes (2)

  • SBOM and SLSA provenance attached to operator container images now follow the OCI 1.1 Referrers spec, so standard registry tooling and supply-chain scanners can discover them automatically.
  • Switched TLS peer verification from VerifyPeerCertificate to VerifyConnection, which runs on every completed handshake
CloudNativePG 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗CloudNativePG 릴리스 전체 →