RATATOSKRATATOSK
로그인

Harbor

v2.15.3Storage & Data
2026년 10월 6일

ACTION 16CHECK 1OTHER 32

보안 취약점 수정과 의존성 업데이트를 중심으로 한 유지 보수 릴리스입니다. 매니페스트와 감사 로그의 크기 제한을 추가하고, 정확성 및 로깅 관련 개선도 포함합니다.

조치 필요 (16)

  • security배포 엔드포인트 경로 탐색 취약점 수정

    배포 엔드포인트의 경로 탐색 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-qj39-pjf2-wmrc입니다.

  • security시스템 로봇 권한 상승 차단

    user:update 권한을 가진 시스템 로봇이 시스템 관리자가 될 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-w5fq-xrhj-j7g2입니다.

  • security로봇 전역 권한 오용 차단

    모든 프로젝트 범위의 로봇 설정이 전역 와일드카드로 축소되면서 부여할 수 없어야 하는 robot:update 권한을 얻고, 프로젝트 간 로봇 탈취와 소유자 잠금이 가능했던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-xq2m-cj8w-56v5입니다.

  • security외부 인증 프록시 관리자 권한 상속 수정

    admin이라는 이름의 외부 인증 프록시 신원이 레지스트리 시스템 관리자 권한을 물려받던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-xvh7-74g6-29xw입니다.

  • security불변 태그 규칙 우회 차단

    불변 태그 규칙의 일치 검사가 첫 번째 저장소 및 태그 선택자만 확인해 여러 선택자로 구성된 규칙을 우회할 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-27f2-qg57-2gwg입니다.

  • security웹훅 전달 서버 측 요청 위조 수정

    웹훅 전달 과정에서 프로젝트 관리자가 내부 서비스와 클라우드 메타데이터 엔드포인트에 접근할 수 있던 서버 측 요청 위조 문제를 수정했습니다. 관련 권고 식별자는 GHSA-2phj-cp9f-qq6w입니다.

  • security스캐너 인증 요청의 TLS 검증 및 응답 처리 수정

    스캐너 전달자 인증 요청에서 TLS 검증을 끄고 전체 응답 본문을 읽던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-884q-mjcg-86x4입니다.

  • security웹훅 오류 응답의 무제한 압축 해제 차단

    웹훅 오류 응답으로 Jobservice에서 압축 해제가 제한 없이 수행될 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-jw3v-7jvc-pfmx입니다.

  • security레지스트리 청크 업로드의 위치 헤더 검증

    레지스트리 청크 업로드에서 검증되지 않은 Location 헤더를 재사용하던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-wjpm-hv5w-gxr6입니다.

  • security취약점 및 Content-Trust pull 정책 우회 차단

    공격자가 제어하는 User-Agent 헤더로 취약점 및 Content-Trust pull 정책을 우회할 수 있던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-wrw5-gmvj-gf23입니다.

  • security레지스트리 복제 페이지 매김 헤더 처리 수정

    레지스트리 복제 클라이언트에서 공격자가 제어하는 페이지 매김 Link 헤더를 이용해 서버 측 요청 위조와 자격 증명 노출이 가능했던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-xgp2-5vxg-rgh2입니다.

  • securityAuthMode 조회 실패 뒤 보안 처리 수정

    AuthMode 조회에 실패해도 보안 미들웨어가 계속 실행되던 문제를 수정했습니다. 관련 권고 식별자는 GHSA-3x7c-wf86-mjx6입니다.

  • security로봇 이름 접두사를 이용한 프록시 캐시 오염 차단

    로봇 이름 접두사로 프록시 캐시를 오염시킬 수 있던 문제를 막았습니다.

  • securityGo 의존성 업데이트

    CVE를 수정하기 위해 Go 의존성을 업데이트했습니다.

  • breaking매니페스트 업로드 크기 제한

    매니페스트 업로드에 크기 제한을 추가했습니다.

  • breaking감사 로그 페이로드 크기 제한

    감사 로그 페이로드에 크기 제한을 추가했습니다.

영향 확인 (1)

  • security스캐너 자격 증명 노출 가능성 수정

    scanner_registration.access_cred가 설정된 경우 적용됩니다.

    scanner_registration.access_cred가 설정된 경우 적용됩니다.

그 외 기록된 변경 32건 전체value changes 17 · fixes 6 · constraints 4

value changes (17)

  • * (cherry-pick) neutralize CSV formula in scan export by @stonezdj in https://github.com/goharbor/harbor/pull/23696
  • * [cherry pick] Remove hardcoded credentials and prevernt passwords in logs by @jUDASmILE in https://github.com/goharbor/harbor/pull/23865
  • * [cherry pick] improve HTTP client request logging and credential str… by @jUDASmILE in https://github.com/goharbor/harbor/pull/23876
  • * [cherry pick]refactor: sanitize connection details in logs and enhance error messa… by @jUDASmILE in https://github.com/goharbor/harbor/pull/23886
  • * chore(deps): bump the patch-updates group across 1 directory with 3 updates by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23728
  • * bump golang to v1.26.7 and refresh base image by @stonezdj in https://github.com/goharbor/harbor/pull/23797
  • * Bump trivy(0.74.0) and trivy adapter(0.39.0) by @stonezdj in https://github.com/goharbor/harbor/pull/23796
  • * (cherry-pick): bump golang.org/x/crypto to v0.55.0 by @stonezdj in https://github.com/goharbor/harbor/pull/23825
  • * Bump up distribution version by @stonezdj in https://github.com/goharbor/harbor/pull/23811
  • * chore(deps): bump github.com/go-asn1-ber/asn1-ber from 1.5.8-0.20250403174932-29230038a667 to 1.5.8 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23905
  • * chore(deps): bump github.com/go-openapi/runtime from 0.32.2 to 0.33.2 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23909
  • * chore(deps): bump github.com/aws/aws-sdk-go-v2/credentials from 1.19.19 to 1.20.3 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23908
  • * chore(deps): bump golang.org/x/sync from 0.22.0 to 0.23.0 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23904
  • * chore(deps): bump github.com/jackc/pgx/v5 from 5.10.0 to 5.11.0 in /src by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23902
  • * chore(deps): bump the patch-updates group across 1 directory with 2 updates by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23844
  • * chore(deps): bump the kubernetes group across 1 directory with 2 updates by @dependabot[bot] in https://github.com/goharbor/harbor/pull/23898
  • * Bump up distribution version and refresh base image by @stonezdj in https://github.com/goharbor/harbor/pull/23991

fixes (6)

  • * (cherry-pick) fix: avoid panic in user audit event resolver on nil event data (#23461) by @Aloui-Ikram in https://github.com/goharbor/harbor/pull/23501
  • * (cherry-pick) fix: Constrain /registries/ping to the saved URL for existing registries (#23463) by @Aloui-Ikram in https://github.com/goharbor/harbor/pull/23502
  • * cherry-pick: fix(ui): use dark login background in dark mode by @bupd in https://github.com/goharbor/harbor/pull/23539
  • * (cherry-pick) fix: convert setup_timestamp, status_revision, and revision columns to bigint to avoid Y2K38 overflow (#23711) by @stonezdj in https://github.com/goharbor/harbor/pull/23719
  • * (cherry-pick): query robot account to validate proxy session and fix UT by @stonezdj in https://github.com/goharbor/harbor/pull/23780
  • * [CHERRY-PICK] fix(gc): do not count blobs missing from storage as freed space by @velmoga in https://github.com/goharbor/harbor/pull/23980

constraints (4)

  • * (cherry-pick) Add a size limit for manifest uploads by @Aloui-Ikram in https://github.com/goharbor/harbor/pull/23503
  • * (cherry-pick) add size limit for audit log payload by @stonezdj in https://github.com/goharbor/harbor/pull/23758
  • * make hostname comparisons case-insensitive by @stonezdj in https://github.com/goharbor/harbor/pull/23833
  • * (cherry-pick) make endpoint handling and validation case-insensitive by @stonezdj in https://github.com/goharbor/harbor/pull/23887
Harbor 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Harbor 릴리스 전체 →