Kyverno
v1.17.1Securityv1.17.1은 CVE 패치, 컨트롤러 패닉/크래시, 레이스 컨디션, 이미지 검증 오류 등 운영 환경에서 조용히 문제를 일으킬 수 있는 버그들을 집중적으로 수정한 패치 릴리스입니다.
securityCVE-2025-68121 즉시 패치
이번 릴리스에서 CVE-2025-68121이 수정됩니다. 릴리스 노트에 상세 내용이 공개되지 않았지만, 어드미션 컨트롤러에서 발생한 CVE는 그 범위와 무관하게 즉각 대응이 필요합니다. v1.17.0을 사용 중이라면 다음 유지보수 창을 기다리지 말고 지금 바로 업그레이드하세요.
breaking정책 exclusion에 빈 목록을 사용 중이라면 반드시 점검
정책 exclusion 블록에 빈 목록을 넣으면 아무것도 제외하지 않는 대신 모든 리소스를 제외하던 버그가 수정됩니다. ClusterPolicy나 Policy에 exclusion 블록이 있다면 지금 바로 검토하세요. 만약 이 잘못된 동작에 의존하고 있었다면, 업그레이드 후 기존에 스킵되던 리소스들이 갑자기 평가 대상이 될 수 있습니다.
enhancementTSA 및 프라이빗 레지스트리 기반 이미지 검증 신뢰성 개선
두 가지 ivpol 수정이 함께 적용됩니다. TSACertChain을 제공할 때 서명 타임스탬프 검증이 정상적으로 활성화되고, 백그라운드 리포트 스캔 시 Kyverno 네임스페이스의 프라이빗 레지스트리 시크릿이 올바르게 사용됩니다. 백그라운드 스캔에서 검증 실패가 반복되거나 TSA 기반 서명 정책이 제대로 동작하지 않았다면, 업그레이드 후 리포트 스캔을 다시 실행해 결과를 확인하세요.
주요 변경 (5)
- CVE-2025-68121 패치 — v1.17.0 사용 중이라면 즉시 업그레이드 필요
- generate 응답에 result가 없을 때 메트릭 래퍼에서 발생하던 패닉 수정 — 컨트롤러 크래시로 이어질 수 있었던 문제
- configuration.IsExcluded()와 ReportsBreaker의 레이스 컨디션 제거 — 동시 요청 처리 시 정확성에 영향을 줬던 버그
- 이미지 검증(ivpol) 수정: 리포트 스캐너에서 프라이빗 레지스트리 인증 정상화, 다중 서명 어노테이션 검증 버그 해결, TSA 인증서 체인 제공 시 서명 타임스탬프 검증 활성화
- 정책 exclusion에서 빈 목록이 모든 리소스를 제외하던 잠재적으로 위험한 동작 수정