CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
보안 관련 gRPC 의존성 업데이트와 Pulsar의 Avro 및 JSON 스키마 처리 수정이 포함됩니다. Scheduler 클러스터 복구 결함도 수정되었습니다.
조치 필요 (1)
securitycriticalgRPC 의존성 보안 업데이트
영향받은 google. 의존성이 CVE-2026-33186을 해결하는 버전으로 올라갔습니다.
영향 확인 (2)
breakingCloudEvents 토픽의 rawPayload 발행 검증
CloudEvents로 감싼 토픽에 rawPayload를 설정한 경우에 적용됩니다.
breakingJSON 스키마 컴파일 및 구조 검증 수정
.를 설정한 경우에 적용됩니다.
이번 릴리스에는 스캐너가 보고한 취약점에 대응한 의존성 업데이트가 포함됩니다. 해당 보고는 cert-manager에 영향을 주는 취약점으로 확인된 내용이 아니며, 자세한 취약점 정보는 스캐너 보고 범위를 넘어 공개되지 않았습니다.
조치 필요 (1)
securitygoogle. 의존성 업데이트
스캐너가 취약점으로 보고한 내용에 대응해 google.를 업데이트했습니다. 이 취약점은 cert-manager에 영향을 주는 것으로 확인된 것은 아니지만, 스캐너 보고에 따라 의존성을 올렸습니다.
운영 환경에 영향을 줄 수 있는 호환성 변경이 포함되어 기능 제거와 기본값, 배포 경로, 버전 정렬이 달라졌습니다. 여러 의존 항목과 Python 인터프리터를 업데이트해 공개되지 않은 CVEs를 해결했으며, 결함 수정과 서비스 및 아키텍처 관련 기능 확장도 포함합니다.
조치 필요 (1)
security의존 항목과 Python 인터프리터 업데이트
여러 의존 항목과 Python 인터프리터를 업데이트해 CVEs를 해결했습니다.
영향 확인 (6)
breaking사용자 정의 오류 응답과 헤더 대소문자 변형 기능 제거
Ambassador Edge Stack의 사용자 정의 오류 응답이나 헤더 대소문자 변형 기능을 사용하는 경우 적용됩니다.
breakingHelm chart와 Emissary의 버전 번호 정렬
Helm chart를 사용하는 경우 적용됩니다.
breakingHelm chart 배포 경로의 GHCR 전용 전환
Emissary의 Helm chart를 사용하는 경우 적용됩니다.
v1.은 의존성 업데이트를 포함하며, 알려진 보안 취약점이 해결됐습니다. 해당 의존성을 사용하는 환경은 이번 릴리스의 변경 사항과 관련이 있습니다.
조치 필요 (2)
securitycriticalgoogle. 의존성 업데이트
google. 의존성을 업데이트해 CVE-2026-33186이 해결됐습니다.
securitymediumgolang. 버전 업데이트
golang.를 v0.에서 v0.으로 업데이트해 CVE-2026-33809이 해결됐습니다.
설치 스크립트 install.의 사용 중단과 제거가 포함됩니다. Go 도구 체인과 JSON-RPC 의존성이 바뀌고 대시보드와 웹훅 문제가 수정되며, Go 및 UI 패키지에는 공개되지 않은 취약점 수정도 포함됩니다.
조치 필요 (2)
securityGo 패키지 취약점 수정
취약점 수정을 위해 Go 패키지를 업데이트합니다.
securityUI 패키지 취약점 수정
취약점 수정을 위해 UI 패키지를 업데이트합니다.
영향 확인 (1)
breakinginstall. 제거
install.를 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedinstall. 사용 중단 예고
install.를 사용하는 경우에 적용됩니다.
의존성 보안 갱신과 예시 매니페스트 조정이 포함되어 있습니다. Kubernetes 1.32부터 1.34까지의 호환성 테스트 범위도 문서화되었습니다.
조치 필요 (2)
securitycriticalgoogle.를 v1.으로 업데이트
google.가 v1.으로 업데이트되었습니다. 이 버전은 CVE-2026-33186과 GHSA-p77j-4mvh-x3m3에 대응하지만, Contour는 해당 취약점의 영향을 받지 않습니다.
securityEnvoy를 v1.로 업데이트
보안 취약점을 해결한 v1.로 Envoy 버전이 올라갔습니다.
영향 확인 (1)
breaking예시 매니페스트의 hostPort 설정 제거
예시 매니페스트에서 hostPort를 사용한다면 적용됩니다.
의존성 두 건이 업데이트되고 예제 매니페스트의 설정이 제거되었습니다. Kubernetes 1.31부터 1.33까지의 호환성이 명시되어 있으며, 두 제목에는 운영자가 별도로 적용할 변경 사항이 없습니다.
조치 필요 (2)
securitycriticalgoogle. v1. 업데이트
google.를 v1.으로 업데이트했습니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3와 관련된 보안 권고를 반영하지만, 해당 취약점은 Contour에 영향을 주지 않습니다.
securityEnvoy v1. 업데이트
보안 취약점을 해결하고 안정성을 높이기 위해 Envoy를 v1.으로 업데이트했습니다.
영향 확인 (1)
breaking예제 매니페스트의 hostPort: 8002 제거
hostPort: 8002가 예제 매니페스트에 설정된 경우 적용됩니다.
의존성 보안 업데이트와 예시 매니페스트 정리가 포함되어 있습니다. Kubernetes 1.30부터 1.32까지 테스트한 범위도 문서화되어 있습니다.
조치 필요 (2)
securitycriticalgoogle. 버전 업데이트
google.가 v1.으로 업데이트됩니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3에 대응하며, Contour는 해당 취약점의 영향을 받지 않습니다.
securityEnvoy 버전 업데이트
Envoy가 v1.으로 업데이트됩니다.
영향 확인 (1)
breaking예시 매니페스트의 Envoy metrics 설정 제거
hostPort: 8002를 사용하는 예시 매니페스트에 적용됩니다.
이번 릴리스는 운영자용 기능과 런타임 및 명령줄 동작을 다듬고, 의존성과 CRD 위치를 조정합니다. 의존성 잠금 파일에는 RUSTSEC-2026-0007 대응 내용이 반영됐습니다.
조치 필요 (2)
securitymediumRUSTSEC-2026-0007 대응을 위한 잠금 파일 업데이트
RUSTSEC-2026-0007에 대응하도록 잠금 파일을 업데이트했습니다.
breakingCRD 위치 변경
CRD가 templates/crds에서 /crds로 이동했습니다.
권한 확인 우회와 취약한 의존성에 관한 보안 수정이 포함되어 업그레이드가 필요한 릴리스입니다. 의존성 및 도구 체인 갱신과 정확성 수정도 포함되며, 운영자 설정 변경이나 지원 중단 안내는 없습니다.
조치 필요 (4)
securitycriticalgoogle. 1.79.3 업데이트
CVE-2026-33186을 해결하기 위해 google.를 1.79.3으로 업데이트했습니다.
securityhigh여러 API의 권한 확인 우회 수정
여러 API에서 발생하던 권한 확인 우회를 수정했습니다. 이 문제는 CVE-2026-33413 및 GHSA-q8m4-xhhv-38mg로 식별됩니다.
securityhighgo. v1.40.0 업데이트
go.를 v1.40.0으로 업데이트했습니다. 관련 보안 권고는 GO-2026-4394입니다.
securityhighgolang. v0.51.0 업데이트
GO-2026-4559를 해결하기 위해 golang.을 v0.51.0으로 업데이트했습니다.
영향 확인 (1)
securitylow중첩된 트랜잭션의 RBAC 권한 확인 우회 수정
중첩된 etcd 트랜잭션과 RBAC를 사용하는 경우에 적용됩니다.
일반적인 정확성 수정과 공개된 보안 수정, 보안 관련 의존성 업데이트가 포함됩니다. 보안 수정과 업데이트는 업그레이드로 대응할 수 있으며, 운영자 재구성이 명시적으로 요구되지는 않습니다.
조치 필요 (3)
securitycriticalgoogle. 업데이트
google.를 1.으로 올려 CVE-2026-33186을 해결했습니다.
securityhighgo. 업데이트
go.를 v1.으로 올려 GO-2026-4394를 해결했습니다.
securityhighgolang. 업데이트
golang.을 v0.으로 올려 GO-2026-4559를 해결했습니다.
영향 확인 (2)
securityhigh인증되지 않은 엔드포인트의 권한 검사 강화
인증되지 않은 엔드포인트를 사용하는 경우 적용됩니다.
securitylow중첩 트랜잭션의 RBAC 권한 검사 적용
중첩 트랜잭션 작업을 사용하는 경우 적용됩니다.
인증 우회와 의존성 보안 문제를 다루는 변경이 포함된 릴리스입니다. 운영 환경에서는 인증 경로와 의존성 버전이 직접적인 영향 범위에 해당합니다.
조치 필요 (4)
securitycriticalgoogle.를 1.으로 업데이트
google.를 1.으로 올려 CVE-2026-33186 문제를 해결했습니다.
securityhigh인증되지 않은 엔드포인트의 인증 검사 적용
etcd server의 인증되지 않은 엔드포인트에 인증 검사를 적용해 여러 API의 권한 우회를 수정했습니다. 관련 권고 식별자는 CVE-2026-33413과 GHSA-q8m4-xhhv-38mg입니다.
securityhighgolang.을 v0.으로 업데이트
golang.을 v0.으로 올려 GO-2026-4559 문제를 해결했습니다.
securitylow중첩 트랜잭션의 권한 검사 우회 수정
중첩된 트랜잭션 작업에도 인증 검사를 적용해 역할 기반 접근 제어 권한 검사를 우회하던 문제를 수정했습니다. 관련 권고 식별자는 CVE-2026-33343과 GHSA-rfx7-8w68-q57q입니다.
레지스트리, 캐시, 서명, 프로파일링, 설정 및 호환성 기능이 추가되고, 여러 의존성과 기반 구성 요소가 업데이트됐습니다. GCR replication이 제거되고 프록시 캐시 동작이 바뀌었으며, 여러 결함도 수정됐습니다. 보안 권고 식별자는 제공되지 않았습니다.
조치 필요 (2)
security프로젝트 생성 전 발급된 bearer tokens 거부
프로젝트 생성 전에 발급된 bearer tokens를 거부하도록 보안 결함을 수정했습니다.
breakingwebhook event check의 9443 포트 제거
webhook event check에서 Harbor IP의 9443 포트를 제거했습니다.
영향 확인 (2)
breakingpull-through cache를 proxy cache로 변경
Harbor에서 pull-through cache를 사용하는 경우에 적용됩니다.
breakingGCR replication 제거
Harbor에서 GCR replication을 사용하는 경우에 적용됩니다.
Go 표준 라이브러리의 공개 보안 수정 사항과 Go 툴체인 업데이트가 포함됩니다. 수동으로 반영해야 하는 Configuration CRD 업데이트와 RavenDB 상태 저장소 등록, 여러 구성 요소의 정확성 및 성능 수정도 함께 제공됩니다.
조치 필요 (3)
securityhighGo 툴체인 1. 업데이트
저장소의 모든 모듈과 Docker 이미지에서 Go 툴체인을 1.에서 1.로 업데이트했습니다.
securitymediumhtml/template URL 이스케이프 누락 수정
html/template에서 meta content attribute의 action URL을 이스케이프하지 않던 문제를 수정했습니다. 조작된 URL을 통한 XSS 가능성이 줄어듭니다.
securitylowos의 FileInfo 경계 이탈 수정
os의 FileInfo가 Root 경계를 벗어날 수 있던 문제를 수정했습니다. 이로 인해 의도한 디렉터리 밖의 파일에 접근할 가능성이 있었습니다.
영향 확인 (2)
securityhighnet/url IPv6 호스트 리터럴 파싱 수정
net/url을 사용하는 경우에 적용됩니다.
breakingstateRetentionPolicy CRD 스키마 형식 수정
stateRetentionPolicy를 구성한 경우에 적용됩니다.
에이전트 버전 보고, TLS 정책 동작 변경, 성능 개선과 여러 결함 수정이 포함되어 있습니다. 보안 수정은 업그레이드가 필요하며, 나머지 수정은 특정 배포 환경에 영향을 줄 때 확인 대상입니다.
조치 필요 (1)
security에이전트 수준 선택자 기록 중단
민감한 정보가 유출될 가능성을 막기 위해 에이전트 수준에서 선택자를 더 이상 기록하지 않습니다. (#6732)
영향 확인 (1)
security서버 TCP 엔드포인트의 TLS 세션 티켓 재개 검증 수정
server TCP endpoint를 사용하는 경우에 적용됩니다.
이번 릴리스에는 공개된 보안 수정과 상태 표시 이름 변경이 포함되며, 정확성·동작·관측성 관련 변경도 들어 있습니다. 대부분의 변경은 업그레이드 외에 운영자 조치가 필요하지 않습니다.
조치 필요 (1)
securityhighCVE-2025-47913 대응을 위한 암호화 모듈 교체
CVE-2025-47913에 대응하도록 golang/x/crypto 모듈을 openshift/golang-crypto 패치 모듈로 가리키는 replace 지시문을 추가했습니다.
영향 확인 (2)
breakingWindows VSS 중지 시간 초과 표시 변경
Windows VSS를 사용하는 경우에 적용됩니다.
breaking웹훅 클라이언트 기본 요청 한도 조정
적용 대상이 릴리스 노트에 명시되지 않았습니다.
구성 범위와 LLMInferenceService 기능이 확장된 운영자 릴리스로, 차트 및 의존성 업데이트와 동작 변경, 제거, 결함 수정이 함께 포함됩니다. 설명된 보안 수정 사항도 운영 환경에서 검토하고 적용할 내용입니다.
조치 필요 (13)
securitycriticalh11 잘못된 본문 처리 수정
형식이 잘못된 본문을 허용하던 h11 문제인 CVE-2025-43859를 수정했습니다.
securityhighstarlette 버전 고정
starlette 버전을 0.로 고정해 CVE-2025-62727을 수정했습니다.
securityhighlightgbm 버전 업데이트
lightgbm 버전을 4.으로 업데이트해 CVE-2024-43598을 수정했습니다.
securityhigh압축 해제 링크 수 제한 문제 수정
압축 해제 과정에서 링크 수가 제한 없이 늘어나는 CVE-2025-66418 문제를 수정했습니다.
securityhighexpr-lang/expr 업데이트
expr-lang/expr를 v1.로 업데이트해 CVE-2025-68156을 수정했습니다.
securityhighcryptography subgroup attack 수정
cryptography의 subgroup attack과 관련된 CVE-2026-26007을 수정했습니다.
securityhighpython-multipart 임의 파일 쓰기 수정
python-multipart의 임의 파일 쓰기 문제인 CVE-2026-24486을 수정했습니다.
securitymedium여러 CVE 수정
CVE-2025-22872, CVE-2025-47914, CVE-2025-58181을 수정했습니다.
securityhttps. 경로 탐색 방지
https.에서 경로 탐색이 발생하지 않도록 수정했습니다.
security여러 CVE 관련 문제 수정
여러 CVE 관련 문제를 수정했습니다.
securityAIOHTTP 자동 압축 해제 문제 수정
AIOHTTP의 HTTP 파서에서 auto_decompress 기능을 악용한 zip bomb 문제를 수정했습니다.
securityextractTarFiles 경로 탐색 수정
extractTarFiles에서 발생하는 경로 탐색 취약점을 수정했습니다.
breakingminio를 seaweedfs로 교체
minio를 seaweedfs로 교체했습니다.
영향 확인 (6)
breakinginferenceservice CRD cert-manager 주석 제거
inferenceservice CRD를 사용하는 경우에 해당합니다.
breakingPython 3.9 지원 제거
Python 3.을 실행하는 경우에 해당합니다.
breaking--disable-log-requests 플래그 제거
--disable-log-requests를 설정하는 경우에 해당합니다.
gRPC 메시지 크기 설정, TLS 인증서 교체 처리, 실험 기능 기본값 조정이 포함됩니다. 튜플 검증과 정확성 문제를 수정했으며, 공개된 권고 식별자와 관련된 Go 도구 체인 보안 업데이트도 반영했습니다.
조치 필요 (2)
securityhighgo 도구 체인 버전 업데이트
표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.
breaking튜플 문자열 검증 조건 강화
튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.
영향 확인 (1)
breakingpipeline_list_objects 실험 기능 기본 활성화
pipeline_list_objects를 설정했거나 listObjects-pipeline-enabled를 설정했거나 사용자 지정 feature flag 클라이언트를 사용하는 경우에 적용됩니다.
Kubernetes 지원 범위가 좁아지고, 기존 클러스터 및 확장 기능 가운데 일부는 다음 버전에서 제거될 예정입니다. Kafka 3.9.2 지원이 추가됐으며 여러 의존성 업데이트로 보안 문제가 해결됐습니다.
조치 필요 (8)
securityhighGRPC Netty Shaded 업데이트
GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.
securitymediumZookeeper 업데이트
Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.
securitymediumNimbus Jose JWT 10.0.2 업데이트
Nimbus Jose JWT를 10.로 업데이트해 CVE-2025-53864를 해결했습니다.
securitymediumNetty 4.1.130.Final 업데이트
Netty를 4.로 업데이트해 CVE-2025-67735를 해결했습니다.
securitymediumApache Log4J 2.25.3 업데이트
Apache Log4J를 2.으로 업데이트해 CVE-2025-68161을 해결했습니다.
securitymediumVertx 4.5.24 업데이트
Vertx를 4.로 업데이트해 CVE-2026-1002를 해결했습니다.
securitymediumJackson 업데이트
Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.
securityVert.와 Netty 업데이트
Vert.와 Netty를 업데이트해 0. 브랜치의 CVE를 수정했습니다.
영향 확인 (1)
breaking지원되는 Kubernetes 버전 변경
Kubernetes 1. 또는 Kubernetes 1.를 사용하는 경우 적용됩니다.
미리 준비 (3)
breakingStrimzi MirrorMaker 2 Extensions 제거 예정0.28.0부터 · 0.46에서 제거 예정
Strimzi MirrorMaker 2 Extensions를 사용하는 경우 적용됩니다.
breakingStrimzi EnvVar Configuration Provider 제거 예정0.38.0부터 · 0.46에서 제거 예정
Strimzi EnvVar Configuration Provider를 사용하는 경우 적용됩니다.
deprecatedZooKeeper 클러스터와 MirrorMaker 1 지원 종료 예정0.46에서 제거 예정
ZooKeeper-based Apache Kafka clusters 또는 MirrorMaker 1 deployments를 사용하는 경우 적용됩니다.
Flux v2.8.2는 TLS 핸드셰이크 중 발생할 수 있는 서비스 거부 문제를 수정한 릴리스입니다. 모든 컨트롤러를 Go 1.26.1로 빌드했으며, 수정 사항은 CVE-2026-27138과 관련됩니다.
조치 필요 (1)
securitymediumTLS 핸드셰이크 서비스 거부 문제 수정
TLS 핸드셰이크 중 발생할 수 있는 서비스 거부 문제 CVE-2026-27138을 수정했습니다. 모든 컨트롤러를 Go 1.26.1로 빌드했습니다.
이번 릴리스에는 업그레이드가 필요한 보안 수정과 일반 버그 수정이 함께 포함되어 있습니다. 게시된 아티팩트와 동적 모듈 호환성도 변경되며, 일반 버그 수정에는 운영자 조치가 제시되지 않았습니다.
조치 필요 (3)
securitymedium범위 지정 IPv6 주소 처리 충돌 수정
범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.
securitymedium문자열 null 종료 문자 쓰기 오류 수정
문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.
securitymedium하위 연결 초기화 뒤 decode* 메서드 차단
하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.
영향 확인 (2)
securityhighrbac 다중 값 헤더 우회 수정
rbac 하위 시스템을 사용하는 경우에 적용됩니다.
securitymediumratelimit 응답 단계 제한 처리 충돌 수정
ratelimit 하위 시스템을 사용하는 경우에 적용됩니다.
공개된 보안 수정과 일반 버그 수정, 의존성 및 이미지 업데이트가 포함된 릴리스입니다. 보안 수정은 업그레이드 조치가 필요한 내용이며, 나머지 항목은 운영자가 확인할 변경 세부 정보가 없는 섹션 제목입니다.
조치 필요 (3)
securitymedium범위 지정 IPv6 주소 처리 충돌 수정
CVE-2026-26310 (GHSA-3cw6-2j68-868p)와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.
securitymedium문자열 null 종결자 손상 수정
CVE-2026-26309 (GHSA-56cj-wgg3-x943)와 관련해 문자열의 null 종결자를 손상시킬 수 있던 off-by-one 쓰기를 수정했습니다.
securitymedium하위 연결 재설정 후 decode* 실행 차단
CVE-2026-26311 (GHSA-84xm-r438-86px)와 관련해 하위 연결이 재설정된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.
영향 확인 (2)
securityhighrbac 다중 값 헤더 우회 수정
rbac을 사용하는 경우에 적용됩니다.
securitymediumratelimit 응답 단계 충돌 수정
ratelimit을 사용하는 경우에 적용됩니다.
이번 릴리스는 Envoy의 네트워크 요청 처리 경로에 보안 수정이 반영된 버전입니다. 해당 경로를 사용하는 운영 환경에서 이번 보안 결함 수정 여부를 확인할 때 관련됩니다.
조치 필요 (4)
securityhigh다중 값 헤더를 이용한 rbac 우회 수정
CVE-2026-26308 및 GHSA-ghc4-35x6-crw5와 관련해 다중 값 헤더를 이용한 rbac 우회 문제를 수정했습니다.
securitymedium범위 지정 IPv6 주소 처리 중 getAddressWithPort() 충돌 수정
CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.
securitymedium문자열 널 종결자의 오프바이원 쓰기 수정
CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련해 문자열 널 종결자에 발생하던 오프바이원 쓰기를 수정했습니다.
securitymedium하류 리셋 뒤 decode* 메서드 실행 차단
CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련해 하류 연결이 리셋된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.
이번 릴리스는 주로 결함 수정과 동작 변경을 담고 있으며, 자격 증명 유출을 막는 보안 수정도 포함합니다. Go 도구 모음이 갱신되고 컨테이너를 동시에 생성할 때 새 경고가 출력됩니다.
조치 필요 (1)
security파드 이벤트의 자격 증명 유출 방지
파드 이벤트에서 자격 증명이 유출되지 않도록 수정했습니다.
보안 취약점 네 건을 수정하고 OAuth2 동작을 바로잡았으며 Docker 기반 이미지를 갱신했습니다. 보안 취약점은 업그레이드로 해결되며, 보안과 무관한 수정에는 운영자 조치가 필요하지 않습니다.
조치 필요 (4)
securityhighrbac 다중 값 헤더 우회 수정
rbac에서 다중 값 헤더로 권한 검사를 우회할 수 있던 문제를 수정했습니다. CVE-2026-26308, GHSA-ghc4-35x6-crw5에 해당합니다.
securitymediumgetAddressWithPort()의 범위 지정 IPv6 주소 처리 수정
범위가 지정된 IPv6 주소로 호출할 때 getAddressWithPort()가 중단될 수 있던 문제를 수정했습니다. CVE-2026-26310, GHSA-3cw6-2j68-868p에 해당합니다.
securitymediumjson 문자열 널 종료 문자 쓰기 오류 수정
json에서 문자열 널 종료 문자를 손상시킬 수 있던 오프바이원 쓰기 문제를 수정했습니다. CVE-2026-26309, GHSA-56cj-wgg3-x943에 해당합니다.
securitymedium다운스트림 재설정 후 decode* 메서드 차단
다운스트림 재설정 뒤 decode* 메서드가 호출되지 않도록 차단했습니다. CVE-2026-26311, GHSA-84xm-r438-86px에 해당합니다.
Envoy와 Istio의 CVE를 포함한 여러 보안 수정과 일반적인 정확성 수정이 포함됩니다. 디버그 엔드포인트에 인증된 네임스페이스를 지정하는 설정 기능도 추가됩니다.
조치 필요 (1)
securitymediumJSON 오프바이원 쓰기 수정
CVE-2026-26309에서 JSON 오프바이원 쓰기가 발생하던 문제를 수정했습니다.
영향 확인 (10)
securityhighRBAC의 다중 값 헤더 우회 수정
RBAC을 사용하는 경우 적용됩니다.
securityhigh알려진 기본 키를 이용한 JWKS Resolver 인증 우회 수정
JWKS Resolver를 사용하는 경우 적용됩니다.
securitymedium하위 연결 재설정 이후 HTTP 디코드 메서드 처리 수정
HTTP를 사용하는 경우 적용됩니다.
공개된 보안 취약점 수정과 디버그 엔드포인트의 네임스페이스 권한 설정 변경이 포함되어 있습니다. WasmPlugin 이미지 가져오기와 InferencePool 구성 처리에서 발생하던 문제도 수정했습니다.
조치 필요 (7)
securityhigh다중 값 헤더를 이용한 RBAC 우회 수정
CVE-2026-26308에서 다중 값 헤더를 이용한 RBAC 우회 문제를 수정했습니다.
securityhighJWKS 확인자 오류에 따른 인증 우회 수정
CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 JWKS 확인자 오류로 알려진 기본 키를 사용한 인증 우회가 가능하던 문제를 수정했습니다.
securitymedium다운스트림 리셋 이후 HTTP 디코드 메서드 처리 수정
CVE-2026-26311과 관련해 다운스트림 리셋 이후 HTTP 디코드 메서드가 차단되도록 수정했습니다.
securitymedium범위 지정 IPv6 주소 처리 중 충돌 수정
범위가 지정된 IPv6 주소에서 getAddressWithPort()가 충돌하던 문제를 CVE-2026-26310 수정 사항에 반영했습니다.
securitymediumJSON 오프바이원 쓰기 수정
JSON 오프바이원 쓰기 오류를 수정했습니다. 이 문제는 CVE-2026-26309에 해당합니다.
securitymediumRatelimit 응답 단계 충돌 수정
ratelimit 응답 단계에서 충돌하던 문제를 CVE-2026-26330 수정 사항에 반영했습니다.
securitymedium디버그 엔드포인트의 네임스페이스 간 프록시 데이터 접근 수정
CVE-2026-31838 및 GHSA-974c-2wxh-g4ww와 관련해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제를 수정했습니다.
영향 확인 (3)
securityXDS 디버그 엔드포인트 인증 적용
XDS debug endpoints를 외부에 노출하는 경우에 적용됩니다.
securityWasmPlugin 이미지 가져오기 SSRF 수정
WasmPlugin 이미지 가져오기를 사용하는 경우에 적용됩니다.
securityHTTP 디버그 엔드포인트의 네임스페이스 권한 적용
HTTP debug endpoints를 외부에 노출하는 경우에 적용됩니다.
보안 취약점 수정이 포함되어 있어 업그레이드가 필요합니다. 디버그 엔드포인트에 권한을 부여할 네임스페이스를 지정하는 설정 기능도 추가됐으며, 이 설정은 선택 사항입니다.
조치 필요 (3)
securitymedium하위 연결 재설정 후 HTTP 디코드 처리 수정
CVE-2026-26311에 대응해 하위 연결이 재설정된 뒤 HTTP 디코드 메서드가 차단되던 문제가 수정됐습니다.
securitymedium범위 지정 IPv6 주소 처리 충돌 수정
CVE-2026-26310에 대응해 범위가 지정된 IPv6 주소를 getAddressWithPort()에서 처리할 때 발생하던 충돌이 수정됐습니다.
securitymediumJSON 오프바이원 쓰기 수정
CVE-2026-26309에 대응해 JSON 쓰기에서 발생하던 오프바이원 오류가 수정됐습니다.
영향 확인 (6)
securityhighRBAC 다중 값 헤더 우회 수정
RBAC를 사용하는 경우 적용됩니다.
securityhighJWKS Resolver 인증 우회 가능성 수정
JWKS Resolver를 사용하는 경우 적용됩니다.
securitymedium디버그 엔드포인트의 네임스페이스 간 데이터 접근 수정
Debug Endpoints를 사용하는 경우 적용됩니다.
Helm, API, solver, feature gate 영역의 기능을 확장하고 기본 동작과 허용되는 동작을 조정했습니다. 여러 오류를 수정했으며 cert-manager 컨트롤러와 Go에 관한 보안 수정도 포함합니다.
조치 필요 (2)
securityhighGo v1. 업데이트
Go를 v1.로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.
breakingIssuer 참조 kind와 group 기본값 복원
issuer 참조의 kind와 group에 적용되는 기본값을 0. 이전 동작으로 되돌렸습니다.
영향 확인 (4)
securityDNS 응답 캐시로 인한 cert-manager 컨트롤러 패닉 수정
적용 대상이 릴리스 노트에 명시되지 않았습니다.
breakingOtherNames 기능 베타 승격 및 기본 활성화
OtherNames 기능을 사용하는 경우 적용됩니다.
breaking기본 컨테이너 UID와 GID 변경
기본 컨테이너 사용자(UID) 또는 기본 컨테이너 그룹(GID)을 설정하지 않은 경우 적용됩니다.
v1.42.1에는 CVE 문제를 해결하기 위한 go 및 의존성 업데이트가 포함됩니다. 보안 수정이 필요한 환경은 이 버전으로 업그레이드하는 내용과 관련이 있습니다.
조치 필요 (1)
securityCVE 대응을 위한 go 및 의존성 업데이트
CVE 문제를 해결하기 위해 go와 의존성을 업데이트했습니다.
v1.은 버그 수정과 의존성 업데이트를 담은 패치 릴리스입니다. Golang standard library와 공통 패키지 취약점 관련 업데이트가 포함됐습니다.
조치 필요 (1)
securityGolang standard library 및 공통 패키지 의존성 업데이트
패치 릴리스에서 Golang standard library와 공통 패키지의 취약점과 관련된 의존성 업데이트가 반영됐습니다.
프록시 프로토콜 지원이 추가되고, 빌드 의존성이 보안 수정이 포함된 버전으로 바뀌었으며, 동작의 정확성과 운영 중 확인되는 동작도 조정되었습니다. 보안 수정과 ACL 우회 방지 변경은 해당 구성을 사용하는 기존 환경에서 조치가 필요할 수 있고, 나머지 변경은 새 기능이나 값을 선택하는 경우를 제외하면 안내 사항에 해당합니다.
조치 필요 (1)
securityhigh빌드의 Go 1. 업데이트
빌드가 Go 1.로 업데이트되며 CVE-2026-27137, CVE-2026-27138, CVE-2026-27139, CVE-2026-25679, CVE-2026-27142를 해결하는 보안 수정이 포함됩니다.
영향 확인 (2)
securityhighrewrite와 acl 처리 순서 수정
rewrite와 acl을 모두 사용하는 경우 적용됩니다.
securityhighplugin/loop 쿼리 이름 생성 방식 수정
plugin/loop이 실행 중인 경우 적용됩니다.
