RATATOSKRATATOSK
로그인

Dapr

v1.19.1Orchestration & Management
2026년 10월 31일

ACTION 6CHECK 6OTHER 3

접근 제어와 격리 경계를 조정하고, 서비스 거부와 비정상 종료를 일으키는 문제를 고친 보안 유지보수 릴리스입니다. 공개 포트 동작과 gRPC 요청 헤더 제한처럼 기존 사용 방식에 영향을 주는 변경도 포함됩니다.

조치 필요 (6)

  • security내부 포트 gRPC 프록시 대상 제한

    내부 포트의 gRPC 프록시는 이제 로컬 앱을 대상으로 한 호출만 처리합니다. 다른 대상을 지정한 호출에는 PermissionDenied를 반환합니다.

  • security작업 대상 키 접두사 구분자 처리

    Scheduler가 작업 대상용 키 접두사의 끝에 항상 구분자를 붙입니다. 이에 따라 id_prefix_match는 API 문서에 정의된 대로 액터 알림 ID에만 적용됩니다.

  • securitySentry 허용 호스트 값 제한

    Sentry에 전달하는 값은 사용자 정보, 경로, 쿼리, 프래그먼트 없이 호스트와 선택적인 숫자 포트만 포함해야 합니다. 호스트 또는 호스트와 포트가 허용된 호스트 목록에 없으면 403을 반환합니다.

  • security검색 문서 캐시 비활성화

    요청 호스트로 만든 검색 문서에 Cache-Control: no-store가 설정된 상태로 전송됩니다.

  • securitygRPC 요청 헤더 크기 제한

    gRPC API 서버와 내부 gRPC 서버가 요청 헤더 크기를 --read-buffer-size 바이트로 제한합니다. 이 값의 최솟값은 64 KiB입니다.

  • securityAPI 토큰 일정 시간 비교

    HTTP와 gRPC API 토큰 검사가 이제 일정한 실행 시간으로 값을 비교합니다.

영향 확인 (6)

  • securitymedium이스케이프된 상태 확인 경로의 API 토큰 검사

    DAPR_API_TOKEN을 설정한 경우에 적용됩니다.

    API 토큰 미들웨어가 라우터가 일치시키는 것과 같은 이스케이프된 경로를 비교합니다. 따라서 퍼센트 인코딩된 상태 확인 경로에도 API 토큰이 필요합니다. 이 동작은 GHSA-59m6-82qm-vqgj와 관련됩니다.

  • securityHTTP 서비스 호출 메서드 기반 접근 제어

    HTTP 앱을 사용하는 경우에 적용됩니다.

    HTTP 앱의 서비스 호출 접근 제어가 앱이 라우팅한 메서드와 일치하도록 바뀌었습니다. 메서드의 퍼센트 인코딩 문자를 한 번 디코딩한 뒤 소문자로 바꾼 값으로 정책을 비교합니다.

  • securityWatchJobs 내부 액터 형식 검사

    WatchJobs를 사용하는 경우에 적용됩니다.

    Scheduler가 호출 앱과 네임스페이스에 속하지 않는 내부 액터 형식인 dapr.internal.*을 선언하거나 해당 형식에 동시성 제한을 설정한 WatchJobs 스트림을 PermissionDenied로 거부합니다.

  • security공개 포트 메타데이터 갱신 경로 변경

    PUT /v1.0/metadata/{key}를 사용하는 경우에 적용됩니다.

    공개 포트의 PUT /v1.0/metadata/{key} 요청이 이제 404를 반환합니다. 클라이언트는 이 요청을 Dapr HTTP API 포트로 보내야 합니다.

  • security저장값 복호화 중 비정상 종료 수정

    primaryEncryptionKey를 설정한 경우에 적용됩니다.

    저장된 값 때문에 복호화 중 Dapr가 비정상 종료하던 문제가 수정되었습니다.

  • security트랜잭션 아웃박스 키와 메시지 처리 수정

    트랜잭션 아웃박스를 사용하는 경우에 적용됩니다.

    트랜잭션 아웃박스가 생성한 표식 키인 outbox-<uuid>만 허용하지 않고 임의의 id도 받아들이던 문제가 수정되었습니다. datacontenttype 필드가 없는 메시지를 처리할 때 Dapr가 비정상 종료하던 문제도 고쳤습니다.

그 외 기록된 변경 3건 전체security fixes 1 · fixes 1 · value changes 1

security fixes (1)

  • For HTTP apps, the access control check now always uses the HTTP verb from the request, the same verb that is sent to the app.

fixes (1)

  • The sidecar closes the connection when opening the stream fails, and closes it when the stream ends.

value changes (1)

  • Dapr now uses modernc.org/sqlite v1.42.2.
Dapr 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Dapr 릴리스 전체 →