RATATOSKRATATOSK
로그인

Kyverno

v1.19.1Security
2026년 9월 10일

ACTION 2CHECK 3OTHER 22

보안 문제를 해결하기 위한 유지보수 변경과 의존성 업데이트가 포함된 릴리스입니다. 동작 정확성 수정과 함께 지원 중단 경고 및 적용이 강화되며, 네임스페이스가 지정된 정책의 `globalContext` 사용 제한으로 운영자 설정 변경이 필요할 수 있습니다.

조치 필요 (2)

영향 확인 (3)

  • securityPolicyException 범위 우회 수정

    PolicyException CRD를 사용하는 경우에 적용됩니다.

    PolicyException의 범위를 우회할 수 있던 문제를 수정했습니다.

    kyverno#17307

  • securityapiCall.service 차단 목록 우회 차단

    apiCall.service 이그레스를 설정한 경우에 적용됩니다.

    apiCall.service 이그레스에서 IPv6-embedded-IPv4 주소로 차단 목록을 우회할 수 있던 문제를 막았습니다.

    kyverno#17329

  • breaking네임스페이스 정책의 globalContext 사용 제한

    네임스페이스가 지정된 정책에서 globalContext를 사용하는 경우에 적용됩니다.

    네임스페이스가 지정된 정책에서 globalContext를 사용할 수 없도록 제한했습니다.

    kyverno#17455

그 외 기록된 변경 22건 전체fixes 17 · additions 2 · value changes 2 · constraints 1

fixes (17)

  • * Fix missing autogen webhook expansion for NamespacedValidatingPolicy (Cherry-pick #17262) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17273
  • * fix: apply HTTP blocklist to apiCall.service executor (cherry-pick #17234) by @realshuting in https://github.com/kyverno/kyverno/pull/17298
  • * fix: harden apiCall.service egress proxy path and cover CABundle branch (Cherry-pick #17299) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17302
  • * fix: avoid data race in image evaluator prefetch (Cherry-pick #17313) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17327
  • * fix: backport 7ac176ac apiCall urlPath hardening to release-1.19 by @realshuting in https://github.com/kyverno/kyverno/pull/17361
  • * fix: validate PolicyException CEL match conditions (Cherry-pick #17350) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17373
  • * fix(background-controller): watch background-scan reports for the ephemeral reports circuit breaker (Cherry-pick #17136) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17430
  • * fix: handle missing reports CRDs as no-op in kyverno-init (Cherry-pick #17420) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17435
  • * fix: skip namespace lookup in exception matching when no namespaceSelector is defined (Cherry-pick #17140) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17437
  • * fix(gpol): propagate synchronize option to UpdateRequests (Cherry-pick #16920) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17446
  • * fix(globalcontext): fix deadlocks in entry lifecycle and watch error handling (Cherry-pick #16904) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17454
  • * fix(webhook): avoid redundant recorder notifications (Cherry-pick #17059) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17451
  • * fix(reports): fix label prefix and metadata for namespaced CEL policies (Cherry-pick #17460) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17480
  • * fix: close layer readers per-iteration to avoid FD/memory leak (Cherry-pick #16994) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17498
  • * fix(gpol): recreate downstream resource after repeated deletions (Cherry-pick #17453) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17520
  • * fix: skip scalar values during wildcard image extraction (Cherry-pick #16268) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17521
  • * fix(reports): discover autogen'd IVPol/NIVPol targets for background scan (Cherry-pick #17395) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17447

additions (2)

  • * feat: phase1 deprecation warning plumbing and CLI warning enforcement (Cherry-pick #17362) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17378
  • * feat: add deprecation warnings to legacy CRD versions and migrate test fixtures off v2beta1 (Cherry-pick #17428) by @kyverno-pr-updater[bot] in https://github.com/kyverno/kyverno/pull/17434

value changes (2)

  • * fix(deps): bump golang.org/x/mod to v0.40.0 by @IceCodeBear in https://github.com/kyverno/kyverno/pull/17358
  • * [release-1.19] fix(deps): upgrade golang.org/x/crypto to v0.56.0 and grpc to v1.83.2 by @realshuting in https://github.com/kyverno/kyverno/pull/17513

constraints (1)

  • * feat(cel): extend autogen to custom workload CRDs (JobSet, etc.) via structural extraction (Cherry-pick #17014) by @Rohanraj123 in https://github.com/kyverno/kyverno/pull/17530
Kyverno 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Kyverno 릴리스 전체 →