NATS
v2.14.4Networking & MessagingNATS v2.14.4는 세 가지 인증·인가 결함 (TLS verify_and_map 빈 패스워드 우회, no_auth_user 인증 콜아웃 우회, MQTT $MQTT.> 구독 권한 우회)을 수정하고, JetStream과 MQTT 안정성 및 성능 개선을 대폭 포함합니다. Raft 클러스터 수정, 시퀀스 작업 최적화, 조정 가능한 디스크 동시성이 특징입니다.
securityTLS verify_and_map 빈 패스워드 인증 우회 수정
TLS `verify_and_map` 인증이 빈 패스워드를 가진 사용자를 받아들였습니다. 수정은 v2.14.4에 포함되며, `verify_and_map`이 설정된 환경이 대상입니다.
securityno_auth_user 인증 콜아웃 우회 수정
`no_auth_user`과 인증 콜아웃을 함께 사용했을 때 클라이언트가 `CONNECT` 메시지를 보내지 않으면 인증 확인을 건너뛰었습니다. 수정은 v2.14.4에 포함되며, 두 설정을 모두 사용하는 환경이 대상입니다.
securityMQTT $MQTT.> 구독 권한 우회 수정
MQTT 클라이언트가 `$MQTT.>` 주제를 구독하여 권한 제한을 우회할 수 있었습니다. 수정은 v2.14.4에 포함되며, 모든 MQTT 배포가 대상입니다.
enhancementJetStream 디스크 동시성 조정 가능 옵션 추가
디스크 동시성 세마포어 기본값이 CPU 크기 계산에서 4096 슬롯으로 높아졌습니다. JetStream I/O 동시성은 이제 jetstream 설정 블록의 새로운 `max_concurrent_io` 옵션으로 조정할 수 있습니다.
주요 변경 (8)
- 보안: TLS verify_and_map 빈 패스워드 우회 (verify_and_map 설정시 적용)
- 보안: no_auth_user + 인증 콜아웃 우회 (CONNECT 생략시, 두 설정 모두 사용시 적용)
- 보안: MQTT $MQTT.> 구독 권한 우회 수정
- JetStream 디스크 동시성 세마포어 4096 슬롯으로 상향 (max_concurrent_io 옵션으로 조정 가능)
- JetStream 성능 개선: 스트림 스냅샷 버퍼 크기 사전 결정, 시퀀스 검색 최적화, 파일저장소 블록 캐시 풀 회수
- JetStream 안정성: Raft/클러스터 디코더 고정으로 불정형 복제 ack/업데이트, 암호화 키 파일 동기화, 메시지 제거 경합 조건 해결
- MQTT 안정성: QoS1/QoS2 패킷 식별자 단조 카운터화, QoS 다운그레이드시 배송 누수 수정
- 추가: JWT 검증 공백만의 권한으로 크래시 수정, 큐 구독 권한 강제, null JSON 값 크래시, healthz/varz 엔드포인트 문제 수정
조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.