릴리스

조치 필요 (1)

• breakingQuiesceFailed 표시를 QuiesceTimeout으로 변경

  QuiesceFailed 표시가 QuiesceTimeout 표시로 교체되었습니다.

조치 필요 (1)

• securityhighCVE-2025-47913 대응을 위한 암호화 모듈 교체

  CVE-2025-47913에 대응하도록 golang/x/crypto 모듈을 openshift/golang-crypto 패치 모듈로 가리키는 replace 지시문을 추가했습니다.

조치 필요 (13)

• securitycriticalh11 잘못된 본문 처리 수정

  형식이 잘못된 본문을 허용하던 h11 문제인 CVE-2025-43859를 수정했습니다.

• securityhighstarlette 버전 고정

  starlette 버전을 0.49.1로 고정해 CVE-2025-62727을 수정했습니다.

• securityhighlightgbm 버전 업데이트

  lightgbm 버전을 4.6.0으로 업데이트해 CVE-2024-43598을 수정했습니다.

• securityhigh압축 해제 링크 수 제한 문제 수정

  압축 해제 과정에서 링크 수가 제한 없이 늘어나는 CVE-2025-66418 문제를 수정했습니다.

• securityhighexpr-lang/expr 업데이트

  expr-lang/expr를 v1.17.7로 업데이트해 CVE-2025-68156을 수정했습니다.

• securityhighcryptography subgroup attack 수정

  cryptography의 subgroup attack과 관련된 CVE-2026-26007을 수정했습니다.

• securityhighpython-multipart 임의 파일 쓰기 수정

  python-multipart의 임의 파일 쓰기 문제인 CVE-2026-24486을 수정했습니다.

• securitymedium여러 CVE 수정

  CVE-2025-22872, CVE-2025-47914, CVE-2025-58181을 수정했습니다.

• securityhttps.go 경로 탐색 방지

  https.go에서 경로 탐색이 발생하지 않도록 수정했습니다.

• security여러 CVE 관련 문제 수정

  여러 CVE 관련 문제를 수정했습니다.

• securityAIOHTTP 자동 압축 해제 문제 수정

  AIOHTTP의 HTTP 파서에서 auto_decompress 기능을 악용한 zip bomb 문제를 수정했습니다.

• securityextractTarFiles 경로 탐색 수정

  extractTarFiles에서 발생하는 경로 탐색 취약점을 수정했습니다.

• breakingminio를 seaweedfs로 교체

  minio를 seaweedfs로 교체했습니다.

조치 필요 (2)

• securityhighgo 도구 체인 버전 업데이트

  표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.

• breaking튜플 문자열 검증 조건 강화

  튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.

조치 필요 (8)

• securityhighGRPC Netty Shaded 업데이트

  GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.

• securitymediumZookeeper 업데이트

  Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.

• securitymediumNimbus Jose JWT 10.0.2 업데이트

  Nimbus Jose JWT를 10.0.2로 업데이트해 CVE-2025-53864를 해결했습니다.

• securitymediumNetty 4.1.130.Final 업데이트

  Netty를 4.1.130.Final로 업데이트해 CVE-2025-67735를 해결했습니다.

• securitymediumApache Log4J 2.25.3 업데이트

  Apache Log4J를 2.25.3으로 업데이트해 CVE-2025-68161을 해결했습니다.

• securitymediumVertx 4.5.24 업데이트

  Vertx를 4.5.24로 업데이트해 CVE-2026-1002를 해결했습니다.

• securitymediumJackson 업데이트

  Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.

• securityVert.x와 Netty 업데이트

  Vert.x와 Netty를 업데이트해 0.45.x 브랜치의 CVE를 수정했습니다.

조치 필요 (1)

• securitymediumTLS 핸드셰이크 서비스 거부 문제 수정

  TLS 핸드셰이크 중 발생할 수 있는 서비스 거부 문제 CVE-2026-27138을 수정했습니다. 모든 컨트롤러를 Go 1.26.1로 빌드했습니다.

조치 필요 (1)

• securityhighOpenTelemetry SDK v1.40.0 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 올려 GO-2026-4394 관련 수정 사항을 반영했습니다.

조치 필요 (1)

• security두 Backstage 백엔드 플러그인의 보안 수정

  @backstage/plugin-auth-backend와 @backstage/plugin-scaffolder-backend에 관한 보안 수정이 포함되었습니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.

• securitymedium문자열 null 종료 문자 쓰기 오류 수정

  문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.

• securitymedium하위 연결 초기화 뒤 decode* 메서드 차단

  하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310 (GHSA-3cw6-2j68-868p)와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 null 종결자 손상 수정

  CVE-2026-26309 (GHSA-56cj-wgg3-x943)와 관련해 문자열의 null 종결자를 손상시킬 수 있던 off-by-one 쓰기를 수정했습니다.

• securitymedium하위 연결 재설정 후 decode* 실행 차단

  CVE-2026-26311 (GHSA-84xm-r438-86px)와 관련해 하위 연결이 재설정된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (4)

• securityhigh다중 값 헤더를 이용한 rbac 우회 수정

  CVE-2026-26308 및 GHSA-ghc4-35x6-crw5와 관련해 다중 값 헤더를 이용한 rbac 우회 문제를 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 getAddressWithPort() 충돌 수정

  CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 널 종결자의 오프바이원 쓰기 수정

  CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련해 문자열 널 종결자에 발생하던 오프바이원 쓰기를 수정했습니다.

• securitymedium하류 리셋 뒤 decode* 메서드 실행 차단

  CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련해 하류 연결이 리셋된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (1)

• security파드 이벤트의 자격 증명 유출 방지

  파드 이벤트에서 자격 증명이 유출되지 않도록 수정했습니다.

조치 필요 (4)

• securityhighrbac 다중 값 헤더 우회 수정

  rbac에서 다중 값 헤더로 권한 검사를 우회할 수 있던 문제를 수정했습니다. CVE-2026-26308, GHSA-ghc4-35x6-crw5에 해당합니다.

• securitymediumgetAddressWithPort()의 범위 지정 IPv6 주소 처리 수정

  범위가 지정된 IPv6 주소로 호출할 때 getAddressWithPort()가 중단될 수 있던 문제를 수정했습니다. CVE-2026-26310, GHSA-3cw6-2j68-868p에 해당합니다.

• securitymediumjson 문자열 널 종료 문자 쓰기 오류 수정

  json에서 문자열 널 종료 문자를 손상시킬 수 있던 오프바이원 쓰기 문제를 수정했습니다. CVE-2026-26309, GHSA-56cj-wgg3-x943에 해당합니다.

• securitymedium다운스트림 재설정 후 decode* 메서드 차단

  다운스트림 재설정 뒤 decode* 메서드가 호출되지 않도록 차단했습니다. CVE-2026-26311, GHSA-84xm-r438-86px에 해당합니다.

조치 필요 (1)

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에서 JSON 오프바이원 쓰기가 발생하던 문제를 수정했습니다.

조치 필요 (7)

• securityhigh다중 값 헤더를 이용한 RBAC 우회 수정

  CVE-2026-26308에서 다중 값 헤더를 이용한 RBAC 우회 문제를 수정했습니다.

• securityhighJWKS 확인자 오류에 따른 인증 우회 수정

  CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 JWKS 확인자 오류로 알려진 기본 키를 사용한 인증 우회가 가능하던 문제를 수정했습니다.

• securitymedium다운스트림 리셋 이후 HTTP 디코드 메서드 처리 수정

  CVE-2026-26311과 관련해 다운스트림 리셋 이후 HTTP 디코드 메서드가 차단되도록 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 충돌 수정

  범위가 지정된 IPv6 주소에서 getAddressWithPort()가 충돌하던 문제를 CVE-2026-26310 수정 사항에 반영했습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  JSON 오프바이원 쓰기 오류를 수정했습니다. 이 문제는 CVE-2026-26309에 해당합니다.

• securitymediumRatelimit 응답 단계 충돌 수정

  ratelimit 응답 단계에서 충돌하던 문제를 CVE-2026-26330 수정 사항에 반영했습니다.

• securitymedium디버그 엔드포인트의 네임스페이스 간 프록시 데이터 접근 수정

  CVE-2026-31838 및 GHSA-974c-2wxh-g4ww와 관련해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제를 수정했습니다.

조치 필요 (3)

• securitymedium하위 연결 재설정 후 HTTP 디코드 처리 수정

  CVE-2026-26311에 대응해 하위 연결이 재설정된 뒤 HTTP 디코드 메서드가 차단되던 문제가 수정됐습니다.

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310에 대응해 범위가 지정된 IPv6 주소를 getAddressWithPort()에서 처리할 때 발생하던 충돌이 수정됐습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에 대응해 JSON 쓰기에서 발생하던 오프바이원 오류가 수정됐습니다.

조치 필요 (2)

• securityhighGo v1.25.5 업데이트

  Go를 v1.25.5로 업데이트해 CVE-2025-61727과 CVE-2025-61729를 수정했습니다.

• breakingIssuer 참조 kind와 group 기본값 복원

  issuer 참조의 kind와 group에 적용되는 기본값을 0.19.0 이전 동작으로 되돌렸습니다.

조치 필요 (1)

• security프로젝트 생성 이전에 발급된 bearer tokens 거부

  프로젝트가 생성되기 전에 발급된 bearer tokens를 거부합니다.

조치 필요 (1)

• securitybearer tokens 발급 시점 검증 수정

  프로젝트 생성 이전에 발급된 bearer tokens를 거부하도록 보안 처리를 수정했습니다.

조치 필요 (1)

• securityCVE 대응을 위한 go 및 의존성 업데이트

  CVE 문제를 해결하기 위해 go와 의존성을 업데이트했습니다.

조치 필요 (1)

• securityGolang standard library 및 공통 패키지 의존성 업데이트

  패치 릴리스에서 Golang standard library와 공통 패키지의 취약점과 관련된 의존성 업데이트가 반영됐습니다.

조치 필요 (1)

• breakingpriorities 자료형 변경

  priorities의 자료형을 string에서 int32로 변경했습니다.

조치 필요 (1)

• breakingGo 1.25.7 요구 사항 적용

  코드베이스 전체에서 Go 버전을 일관되게 맞추고 Go 1.25.7을 요구합니다.

조치 필요 (1)

• securityGo 1.25.7 업데이트

  Go 1.25.7에는 go 명령과 crypto/tls 패키지의 보안 수정이 포함됐습니다. 컴파일러와 crypto/x509 패키지의 버그도 수정됐습니다.

조치 필요 (1)

• securityhigh빌드의 Go 1.26.1 업데이트

  빌드가 Go 1.26.1로 업데이트되며 CVE-2026-27137, CVE-2026-27138, CVE-2026-27139, CVE-2026-25679, CVE-2026-27142를 해결하는 보안 수정이 포함됩니다.

조치 필요 (2)

• securityhigh공개 보안 취약점 수정

  CVE-2026-27133 및 CVE-2026-27134와 관련된 공개 보안 취약점을 수정했습니다. 관련 권고 식별자는 GHSA-2qwx-rq6j-8r6j와 GHSA-6x85-j2f7-4xc5입니다.

• breakingServerSideApplyPhase1 기본 활성화

  ServerSideApplyPhase1 기능 게이트가 베타 단계로 올라갔으며, 이제 기본값이 활성화로 설정됩니다.

조치 필요 (9)

• security암호화 의존성 버전 갱신

  x/(net/sync/crypto)를 업데이트하고 dvsekhvalnov/jose2go 버전을 고정했습니다.

• securityGo 취약점 수정

  Go의 취약점을 수정했습니다.

• securityUID 검사 대상 제한

  UID 검사가 root만 확인하도록 바뀌었습니다.

• securityHTTP 경로 일치 수정과 invocation auto-registration 지원

  HTTP 경로 일치에서 발생하던 cardinality leak을 수정하고 invocation auto-registration을 지원합니다.

• securitygolang.org/x/crypto 업데이트

  golang.org/x/crypto를 업데이트했습니다.

• securitygithub.com/docker/docker 업데이트

  github.com/docker/docker를 업데이트했습니다.

• security보안 취약점 수정

  보안 취약점 수정이 반영되었습니다.

• securitygithub.com/coreos/go-oidc/v3 업데이트

  github.com/coreos/go-oidc/v3를 업데이트했습니다.

• securityNATS 취약점 수정

  NATS 취약점을 수정했습니다.

조치 필요 (1)

• securityhighGHSA-9h8m-3fm2-qjrq 대응 의존성 수정

  go.opentelemetry.io deps를 수정해 GHSA-9h8m-3fm2-qjrq에 대응했습니다.

조치 필요 (2)

• securitycritical보고된 취약점 수정

  v1.18.6은 CVE-2025-68121을 비롯해 보고된 일부 취약점을 수정하는 패치 릴리스입니다.

• securitycriticalGo 버전 상향

  CVE-2025-68121에 대응하기 위해 Go 버전을 상향했습니다.

조치 필요 (3)

• securitycriticalgo 업데이트

  go를 업데이트해 CVE-2025-68121에 대응했습니다.

• securityhighCVE-2026-24051 및 CVE-2025-68121 취약점 수정

  v1.19.4는 보고된 취약점인 CVE-2026-24051과 CVE-2025-68121을 수정하는 패치 릴리스입니다. 모든 사용자의 업그레이드가 권고됩니다.

• securityhighotel SDK 업데이트

  otel SDK를 업데이트해 GO-2026-4394에 대응했습니다.

조치 필요 (1)

• securitycriticalgrpc-health-probe 버전 갱신

  grpc-health-probe가 v0.4.45로 업데이트되었습니다. 이 변경은 CVE-2025-68121에 대응합니다.

조치 필요 (1)

• breaking클라이언트 측 적용 마이그레이션 실패 수정

  3.3.0과 3.3.1에서 발생하던 failed to perform client-side apply migration 문제가 이번 릴리스에서 해결됐습니다. ServerSideApply=true와 ClientSideApplyMigration=false 설정이 함께 제시됩니다.

조치 필요 (1)

• securitycoredns-plugin 최신 보안 수정 반영

  coredns-plugin 버전이 최신 보안 수정 사항을 포함하도록 올라갔습니다.

조치 필요 (2)

• securitymediumCVE-2026-0707 인증 헤더 구문 분석 문제 수정

  Authorization Header 구문 분석으로 보안 통제가 우회될 수 있는 문제를 수정했습니다.

• securitylowCVE-2025-5416 환경 정보 노출 문제 수정

  keycloak-core에서 환경 정보가 노출되는 문제를 수정했습니다.

조치 필요 (1)

• securitycriticalCVE-2025-68121 보안 취약점 수정

  CVE-2025-68121 수정이 반영됐습니다.

조치 필요 (1)

• securityhighCVE-2026-27133 보안 결함 수정

  CVE-2026-27133과 관련된 보안 결함이 수정되었습니다.

조치 필요 (1)

• securitycritical바이너리와 이미지 빌드용 Go 버전 업데이트

  OPA 바이너리와 이미지 빌드에 사용하는 Go 버전이 1.25.7로 변경됐습니다. 이 버전의 Go 표준 라이브러리에는 GO-2026-4337 수정이 포함됩니다.

조치 필요 (7)

• securitygolang.org/x/crypto v0.45.0 업데이트

  보안 수정으로 golang.org/x/crypto가 v0.45.0으로 업데이트되었습니다.

• securitygithub.com/go-chi/chi/v5 v5.2.4 업데이트

  보안 수정으로 github.com/go-chi/chi/v5가 v5.2.4로 업데이트되었습니다.

• securitygithub.com/sigstore/cosign/v3 v3.0.4 업데이트

  보안 수정으로 github.com/sigstore/cosign/v3가 v3.0.4로 업데이트되었습니다.

• securitygithub.com/theupdateframework/go-tuf/v2 v2.4.1 업데이트

  보안 수정으로 github.com/theupdateframework/go-tuf/v2가 v2.4.1로 업데이트되었습니다.

• securitygithub.com/sigstore/rekor v1.5.0 업데이트

  보안 수정으로 github.com/sigstore/rekor가 v1.5.0으로 업데이트되었습니다.

• securitygithub.com/sigstore/sigstore v1.10.4 업데이트

  보안 수정으로 github.com/sigstore/sigstore가 v1.10.4로 업데이트되었습니다.

• securitygithub.com/quic-go/quic-go v0.57.0 업데이트

  보안 수정으로 github.com/quic-go/quic-go가 v0.57.0으로 업데이트되었습니다.

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (2)

• securitycriticalcrypto/tls 세션 재개 검증 문제 수정

  CVE-2025-68121과 관련해 crypto/tls 세션 재개 과정에서, 초기 핸드셰이크와 재개된 핸드셰이크 사이에 ClientCAs 또는 RootCAs가 변경되면 실패해야 하는 핸드셰이크가 성공하던 문제가 수정됐습니다.

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  CVE-2025-61732과 관련해 Go 및 C/C++ 주석을 해석하는 방식의 차이로 생성된 cgo 바이너리에 코드를 끼워 넣을 수 있던 문제가 수정됐습니다.