RATATOSKRATATOSK
로그인

Dapr

v1.18.10Orchestration & Management
2026년 10월 31일

ACTION 1CHECK 9OTHER 2

접근 제어, 격리, 서비스 거부, 프로세스 중단과 관련된 보안 문제를 다룬 유지보수 릴리스입니다. 공개 메타데이터 쓰기 경로와 gRPC 메타데이터 크기 제한에는 호환성이 바뀌는 동작이 포함됩니다.

조치 필요 (1)

  • securitygRPC 요청 헤더 크기 제한

    gRPC API 서버와 내부 gRPC 서버가 요청 헤더 크기를 --read-buffer-size 바이트로 제한합니다. 이 값의 최솟값은 64 KiB이며 dapr.io/read-buffer-size 설정과 관련됩니다.

영향 확인 (9)

  • securityHTTP 서비스 호출 메서드 검사 일치

    HTTP 앱을 실행하는 경우 적용됩니다.

    HTTP 앱의 접근 제어 검사가 앱으로 전달되는 메서드와 정책을 비교합니다. 퍼센트 인코딩 문자를 한 번 디코딩한 뒤 소문자로 바꿔 검사합니다.

  • security내부 액터 대상 WatchJobs 권한 확인

    호출 앱과 네임스페이스에 속하지 않는 내부 액터 유형 dapr.internal.*에 WatchJobs 스트림이 동시성 제한을 선언하거나 설정하는 경우 적용됩니다.

    스케줄러가 호출 앱과 네임스페이스에 속하지 않는 내부 액터 유형을 대상으로 하는 WatchJobs 스트림을 거부합니다. 해당 스트림이 동시성 제한을 선언하거나 설정하면 PermissionDenied를 반환합니다.

  • security이스케이프된 상태 확인 경로의 API 토큰 검사

    DAPR_API_TOKEN을 설정하는 경우 적용됩니다.

    API 토큰 미들웨어가 라우터가 일치시키는 것과 같은 이스케이프된 경로를 비교합니다. 퍼센트 인코딩된 상태 확인 경로에도 API 토큰이 필요합니다.

  • security내부 포트의 gRPC 대상 제한

    내부 포트를 사용하는 경우 적용됩니다.

    내부 포트의 gRPC 프록시는 로컬 앱을 대상으로 하는 호출만 처리합니다. 다른 대상을 지정한 호출에는 PermissionDenied를 반환합니다.

  • security공개 포트 메타데이터 쓰기 경로 제거

    공개 포트로 PUT /v1.0/metadata/{key}를 보내는 경우 적용됩니다.

    호환성이 바뀌었습니다. 공개 포트의 PUT /v1.0/metadata/{key} 요청은 이제 404를 반환하며, 클라이언트는 대신 Dapr HTTP API 포트로 요청해야 합니다.

  • security요청 호스트 기반 디스커버리 문서 캐시 방지

    요청 호스트를 바탕으로 디스커버리 문서를 생성하는 경우 적용됩니다.

    검증된 값으로 디스커버리 문서를 생성합니다. 요청 호스트에서 만든 디스커버리 문서에는 이제 Cache-Control: no-store가 포함됩니다.

  • securityprimaryEncryptionKey 오류 처리

    primaryEncryptionKey에 입력하면 패닉을 일으킬 값이 포함된 경우 적용됩니다.

    패닉을 일으킬 수 있는 primaryEncryptionKey 값에 대해 이제 오류를 반환합니다. gRPC에서는 Internal, HTTP에서는 500을 반환하며 기존 상태 저장소 오류 코드를 사용합니다.

  • security아웃박스 표식 키가 아닌 메시지 제거

    트랜잭션 아웃박스를 사용하는 경우 적용됩니다.

    아웃박스 구독자가 id가 아웃박스 표식 키인 outbox-<uuid>가 아닌 메시지를 버립니다. 상태를 읽거나 삭제하기 전에 메시지를 버리고 경고를 기록합니다.

  • securityAPI 토큰의 일정 시간 비교

    DAPR_API_TOKEN을 설정하는 경우 적용됩니다.

    HTTP와 gRPC API 토큰 검사가 일정한 시간에 실행되는 비교 방식을 사용합니다.

그 외 기록된 변경 2건 전체fixes 2

fixes (2)

  • The sidecar closes the connection when opening the stream fails, and closes it when the stream ends.
  • Dapr no longer counts timer events in the stored inbox length, and no longer includes them when it computes the inbox keys to save.
Dapr 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Dapr 릴리스 전체 →