RATATOSKRATATOSK
로그인

Falco

0.45.0Security
2026년 9월 21일

ACTION 3PLAN 1OTHER 20

규칙 평가 의미가 바뀌는 호환성 주의 릴리스로, 다시 불러오기와 차트 기능이 추가됩니다. 운영 관련 수정과 의존성 업데이트, 보안 문제를 다룬 수정도 함께 포함됩니다.

조치 필요 (3)

  • securitypidfile 심볼릭 링크 추적 방지

    적용 대상이 릴리스 노트에 명시되지 않았습니다.

    공격자가 쓸 수 있는 디렉터리에 pidfile 경로가 있을 때 심볼릭 링크를 이용한 TOCTOU 문제가 발생하지 않도록 pidfile을 O_NOFOLLOW로 엽니다.

  • security커널 모듈 로딩 시 절대 경로의 modprobe 사용

    커널 모듈을 불러올 때 PATH를 검색하는 대신 절대 경로의 modprobe를 사용합니다. 신뢰할 수 없는 검색 경로와 관련된 CWE-426 문제를 막습니다.

  • breaking원시 필드 바이트 기준의 규칙 조건 평가

    적용 대상이 릴리스 노트에 명시되지 않았습니다.

    규칙 조건을 원시 필드 바이트 기준으로 평가합니다. 잘못된 UTF-8 시퀀스와 출력할 수 없는 UTF-8 시퀀스도 문자열 연산자로 일치시킬 수 있으며, 단일 바이트에는 새 이스케이프 시퀀스 \xHH를 사용합니다. regex는 정제된 입력에 적용되고, 출력 인코딩 시 출력할 수 없는 문자는 이스케이프하며 잘못된 UTF-8 시퀀스는 대체 문자로 바꿉니다. FALCO_ENGINE_VERSION이 0.62.0에서 0.63.0으로 올라갔고, 정규식이 아닌 연산자로 대체 문자와 일치시키던 규칙은 동작 검토가 필요합니다.

    falco#3942@ekoops

미리 준비 (1)

  • deprecatedcontainer_engines 설정 키 제거

    설정 JSON 스키마에서 container_engines 관련 항목을 제거했습니다. 이 키를 계속 설정한 구성은 시작할 때 스키마 검증 경고를 기록합니다.

    falco#3924@ekoops

그 외 기록된 변경 20건 전체fixes 13 · value changes 4 · additions 2 · constraints 1

fixes (13)

  • fix(falco): no unsupported syscalls warning is printed anymore when replaying a capture [[#4003](https://github.com/falcosecurity/falco/pull/4003)] - [@leogr](https://github.com/leogr)
  • fix(falco): the unsupported syscalls warning now points to base_syscalls.all instead of the removed -A flag [[#4001](https://github.com/falcosecurity/falco/pull/4001)] - [@leogr](https://github.com/leogr)
  • fix(packaging): restore Falco services and persistent kernel modules after upgrades, migrate package-default driver pins, and clean up package-created systemd state on removal [[#3994](https://github.com/falcosecurity/falco/pull/3994)] - [@leogr](https://github.com/leogr)
  • fix(chart): always mount an emptyDir at /etc/falco/config.d, and bump the default falcoctl image to 0.14.1, the container plugin to 0.7.4, and the k8smeta plugin to 0.4.2 [[#3984](https://github.com/falcosecurity/falco/pull/3984)] - [@leogr](https://github.com/leogr)
  • fix(chart): mount the container engine socket directories instead of the socket files, so Falco keeps working after a container runtime restart [[#3978](https://github.com/falcosecurity/falco/pull/3978)] - [@leogr](https://github.com/leogr)
  • fix(chart): support DaemonSet revision history limits and honor an explicit zero for both DaemonSet and Deployment controllers. [[#3931](https://github.com/falcosecurity/falco/pull/3931)] - [@Goutham-Annem](https://github.com/Goutham-Annem)
  • fix(chart): do not render the falcoctl config volume when falcoctl artifact install and follow are disabled [[#3894](https://github.com/falcosecurity/falco/pull/3894)] - [@immanuwell](https://github.com/immanuwell)
  • fix(engine): falco --list no longer incorrectly labels the evt field class with a specific event source [[#3936](https://github.com/falcosecurity/falco/pull/3936)] - [@Wahid7852](https://github.com/Wahid7852)
  • fix(cmake): add support for 64K kernel page to jemalloc on aarch64 [[#3970](https://github.com/falcosecurity/falco/pull/3970)] - [@lekanjava](https://github.com/lekanjava)
  • fix(chart): correct the inverted priority level mappings in the Grafana dashboard, so severity labels match Falco's numeric priorities (0=emergency ... 7=debug) [[#3932](https://github.com/falcosecurity/falco/pull/3932)] - [@Goutham-Annem](https://github.com/Goutham-Annem)
  • fix(engine): correctly match wildcard patterns when the literal segment that follows a * appears more than once in the input (e.g. *.yaml against backup.yaml.yaml, or wildcard enable/disable of rule names whose names repeat a literal segment). [[#3913](https://github.com/falcosecurity/falco/pull/3913)] - [@tejgokani](https://github.com/tejgokani)
  • fix: serve SIGHUP-triggered hot restart when watch_config_files is disabled [[#3939](https://github.com/falcosecurity/falco/pull/3939)] - [@c2ndev](https://github.com/c2ndev)
  • fix(engine): do not emit the LOAD_NO_EVTTYPE warning for rules with statically unsatisfiable conditions (e.g. the never_true placeholder idiom) [[#3918](https://github.com/falcosecurity/falco/pull/3918)] - [@leogr](https://github.com/leogr)

value changes (4)

  • feat(userspace/falco): suggest --dry-run when --validate receives a Falco configuration file [[#3947](https://github.com/falcosecurity/falco/pull/3947)] - [@AkashKumar7902](https://github.com/AkashKumar7902)
  • update(build): bump falcoctl to 0.14.2 [[#3996](https://github.com/falcosecurity/falco/pull/3996)] - [@leogr](https://github.com/leogr)
  • bump the default falcoctl image to 0.14.1, the container plugin to 0.7.4, and the k8smeta plugin to 0.4.2
  • The pidfile content now ends with a trailing newline

additions (2)

  • new(chart): add serviceAccount.labels to set custom labels on the ServiceAccount [[#3946](https://github.com/falcosecurity/falco/pull/3946)] - [@Goutham-Annem](https://github.com/Goutham-Annem)
  • feat(falco): Expose reload status through GET /reload and add optional reload control over a protected Unix socket on Linux. Preserve SIGHUP reception and pending requests across reloads. [[#4005](https://github.com/falcosecurity/falco/pull/4005)] - [@c2ndev](https://github.com/c2ndev)

constraints (1)

  • update(chart): bump the falcosidekick subchart constraint to 0.14.* and the falco-talon subchart constraint to 0.4.* [[#3990](https://github.com/falcosecurity/falco/pull/3990)] - [@leogr](https://github.com/leogr)
Falco 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Falco 릴리스 전체 →