릴리스

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc v1.79.3 업데이트

  google.golang.org/grpc를 v1.79.3으로 업데이트했습니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3와 관련된 보안 권고를 반영하지만, 해당 취약점은 Contour에 영향을 주지 않습니다.

• securityEnvoy v1.34.13 업데이트

  보안 취약점을 해결하고 안정성을 높이기 위해 Envoy를 v1.34.13으로 업데이트했습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc 버전 업데이트

  google.golang.org/grpc가 v1.79.3으로 업데이트됩니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3에 대응하며, Contour는 해당 취약점의 영향을 받지 않습니다.

• securityEnvoy 버전 업데이트

  Envoy가 v1.34.13으로 업데이트됩니다.

조치 필요 (8)

• securityhighGRPC Netty Shaded 업데이트

  GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.

• securitymediumZookeeper 업데이트

  Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.

• securitymediumNimbus Jose JWT 10.0.2 업데이트

  Nimbus Jose JWT를 10.0.2로 업데이트해 CVE-2025-53864를 해결했습니다.

• securitymediumNetty 4.1.130.Final 업데이트

  Netty를 4.1.130.Final로 업데이트해 CVE-2025-67735를 해결했습니다.

• securitymediumApache Log4J 2.25.3 업데이트

  Apache Log4J를 2.25.3으로 업데이트해 CVE-2025-68161을 해결했습니다.

• securitymediumVertx 4.5.24 업데이트

  Vertx를 4.5.24로 업데이트해 CVE-2026-1002를 해결했습니다.

• securitymediumJackson 업데이트

  Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.

• securityVert.x와 Netty 업데이트

  Vert.x와 Netty를 업데이트해 0.45.x 브랜치의 CVE를 수정했습니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.

• securitymedium문자열 null 종료 문자 쓰기 오류 수정

  문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.

• securitymedium하위 연결 초기화 뒤 decode* 메서드 차단

  하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310 (GHSA-3cw6-2j68-868p)와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 null 종결자 손상 수정

  CVE-2026-26309 (GHSA-56cj-wgg3-x943)와 관련해 문자열의 null 종결자를 손상시킬 수 있던 off-by-one 쓰기를 수정했습니다.

• securitymedium하위 연결 재설정 후 decode* 실행 차단

  CVE-2026-26311 (GHSA-84xm-r438-86px)와 관련해 하위 연결이 재설정된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (4)

• securityhigh다중 값 헤더를 이용한 rbac 우회 수정

  CVE-2026-26308 및 GHSA-ghc4-35x6-crw5와 관련해 다중 값 헤더를 이용한 rbac 우회 문제를 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 getAddressWithPort() 충돌 수정

  CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 널 종결자의 오프바이원 쓰기 수정

  CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련해 문자열 널 종결자에 발생하던 오프바이원 쓰기를 수정했습니다.

• securitymedium하류 리셋 뒤 decode* 메서드 실행 차단

  CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련해 하류 연결이 리셋된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (4)

• securityhighrbac 다중 값 헤더 우회 수정

  rbac에서 다중 값 헤더로 권한 검사를 우회할 수 있던 문제를 수정했습니다. CVE-2026-26308, GHSA-ghc4-35x6-crw5에 해당합니다.

• securitymediumgetAddressWithPort()의 범위 지정 IPv6 주소 처리 수정

  범위가 지정된 IPv6 주소로 호출할 때 getAddressWithPort()가 중단될 수 있던 문제를 수정했습니다. CVE-2026-26310, GHSA-3cw6-2j68-868p에 해당합니다.

• securitymediumjson 문자열 널 종료 문자 쓰기 오류 수정

  json에서 문자열 널 종료 문자를 손상시킬 수 있던 오프바이원 쓰기 문제를 수정했습니다. CVE-2026-26309, GHSA-56cj-wgg3-x943에 해당합니다.

• securitymedium다운스트림 재설정 후 decode* 메서드 차단

  다운스트림 재설정 뒤 decode* 메서드가 호출되지 않도록 차단했습니다. CVE-2026-26311, GHSA-84xm-r438-86px에 해당합니다.

조치 필요 (1)

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에서 JSON 오프바이원 쓰기가 발생하던 문제를 수정했습니다.

조치 필요 (7)

• securityhigh다중 값 헤더를 이용한 RBAC 우회 수정

  CVE-2026-26308에서 다중 값 헤더를 이용한 RBAC 우회 문제를 수정했습니다.

• securityhighJWKS 확인자 오류에 따른 인증 우회 수정

  CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 JWKS 확인자 오류로 알려진 기본 키를 사용한 인증 우회가 가능하던 문제를 수정했습니다.

• securitymedium다운스트림 리셋 이후 HTTP 디코드 메서드 처리 수정

  CVE-2026-26311과 관련해 다운스트림 리셋 이후 HTTP 디코드 메서드가 차단되도록 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 충돌 수정

  범위가 지정된 IPv6 주소에서 getAddressWithPort()가 충돌하던 문제를 CVE-2026-26310 수정 사항에 반영했습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  JSON 오프바이원 쓰기 오류를 수정했습니다. 이 문제는 CVE-2026-26309에 해당합니다.

• securitymediumRatelimit 응답 단계 충돌 수정

  ratelimit 응답 단계에서 충돌하던 문제를 CVE-2026-26330 수정 사항에 반영했습니다.

• securitymedium디버그 엔드포인트의 네임스페이스 간 프록시 데이터 접근 수정

  CVE-2026-31838 및 GHSA-974c-2wxh-g4ww와 관련해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제를 수정했습니다.

조치 필요 (3)

• securitymedium하위 연결 재설정 후 HTTP 디코드 처리 수정

  CVE-2026-26311에 대응해 하위 연결이 재설정된 뒤 HTTP 디코드 메서드가 차단되던 문제가 수정됐습니다.

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310에 대응해 범위가 지정된 IPv6 주소를 getAddressWithPort()에서 처리할 때 발생하던 충돌이 수정됐습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에 대응해 JSON 쓰기에서 발생하던 오프바이원 오류가 수정됐습니다.

조치 필요 (2)

• securityhigh공개 보안 취약점 수정

  CVE-2026-27133 및 CVE-2026-27134와 관련된 공개 보안 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-2qwx-rq6j-8r6j와 GHSA-6x85-j2f7-4xc5입니다.

• breakingServerSideApplyPhase1 기본 활성화

  ServerSideApplyPhase1 기능 게이트가 베타 단계로 올라갔으며, 이제 기본값이 활성화로 설정됩니다.

조치 필요 (1)

• securityhighCVE-2026-27133 보안 결함 수정

  CVE-2026-27133과 관련된 보안 결함이 수정되었습니다.

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (2)

• securitycriticalcrypto/tls 세션 재개 검증 문제 수정

  CVE-2025-68121과 관련해 crypto/tls 세션 재개 과정에서, 초기 핸드셰이크와 재개된 핸드셰이크 사이에 ClientCAs 또는 RootCAs가 변경되면 실패해야 하는 핸드셰이크가 성공하던 문제가 수정됐습니다.

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  CVE-2025-61732과 관련해 Go 및 C/C++ 주석을 해석하는 방식의 차이로 생성된 cgo 바이너리에 코드를 끼워 넣을 수 있던 문제가 수정됐습니다.

조치 필요 (1)

• breakingistiod 메모리 제한 자동 설정

  istiod가 automemlimit 라이브러리를 사용해 GOMEMLIMIT을 메모리 제한의 90%로 자동 설정합니다. OOM 종료 위험을 낮추면서 성능을 유지합니다.

조치 필요 (1)

• breakingtopology.kubernetes.io 레이블의 기본 제외 설정

  기본값으로 topology.kubernetes.io 레이블을 보안 레이블에서 제외합니다.

조치 필요 (1)

• security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

  리소스 주석 검증이 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링으로 Pod 사양에 컨테이너를 삽입하는 경로를 차단합니다. (Issue #58889)

조치 필요 (15)

• securitygithub.com/containerd/containerd 보안 업데이트

  github.com/containerd/containerd 모듈이 v1.7.29로 업데이트됩니다.

• securitygithub.com/go-viper/mapstructure/v2 보안 업데이트

  github.com/go-viper/mapstructure/v2 모듈이 v2.4.0으로 업데이트됩니다.

• securitygithub.com/docker/docker 보안 업데이트

  github.com/docker/docker 모듈이 v28.3.3+incompatible로 업데이트됩니다.

• securitygolang.org/x/crypto 보안 업데이트

  golang.org/x/crypto 모듈이 v0.45.0으로 업데이트됩니다.

• securityhelm.sh/helm/v3 보안 업데이트

  helm.sh/helm/v3 모듈이 v3.18.4로 업데이트됩니다.

• securityhelm.sh/helm/v3 보안 업데이트

  helm.sh/helm/v3 모듈이 v3.18.5로 업데이트됩니다.

• breakingplpmtud 기본값 변경

  plpmtud의 기본값이 blackhole로 변경됩니다.

• breakingAddressScopeMax 기본값 변경

  AddressScopeMax 기본값이 호스트 범위인 254로 변경됩니다. --local-max-addr-scope와 관련된 설정이 새 GKE 메타데이터 서버 및 HCP 사용 사례에 맞게 조정됩니다.

• breakingtls authMode 기본값 변경

  tls authMode 기본값이 migration으로 설정됩니다.

• breakingCNI 삭제 제한 시간 단축

  CNI 삭제 제한 시간이 1.5초로 줄어듭니다.

• breakingpolicy-default-local-cluster 기본 설정

  policy-default-local-cluster가 기본적으로 설정됩니다.

• breaking호스트 방화벽 우회 기본 비활성화

  호스트 방화벽 우회가 기본적으로 비활성화됩니다.

• breakingFQDN 일치 패턴 정제 검사 강화

  FQDN 일치 패턴의 정제 처리가 재구성되고 검사가 강화됩니다.

• breakingcilium_host를 통한 암호화 트래픽 전달 제거

  cilium_host를 통한 암호화 트래픽 전달이 제거됩니다.

• breaking컨테이너 이미지의 CNI 설정 파일 설치 제거

  컨테이너 이미지에 CNI 설정 파일을 설치하지 않습니다.

조치 필요 (1)

• breakingCilium Preflight 검사에서 Envoy Configmaps 제외

  Cilium Preflight 검사에서 Envoy Configmaps를 더 이상 확인하지 않아 검사를 올바르게 실행하기 쉬워졌습니다.

조치 필요 (1)

• breaking런타임 가드와 레거시 코드 경로 제거

  여러 런타임 가드와 레거시 코드 경로를 제거했습니다.