릴리스

조치 필요 (2)

• breakingService Account 토큰 마운트 기본 동작 변경

  Pod에 Service Account 토큰을 자동으로 마운트하지 않고, 볼륨을 사용해 마운트하도록 기본 동작이 바뀝니다.

• breakingServerSideApplyPhase1 기능 게이트 영구 활성화

  ServerSideApplyPhase1 기능 게이트가 GA 단계로 전환되고 영구적으로 활성화됩니다. 비활성화할 수 없습니다.

영향 확인 (4)

• security공백만 있는 권한으로 인한 JWT 검증 중단 수정

  JWT 검증을 사용하는 경우 적용됩니다.

• securityverify_and_map의 빈 비밀번호 인증 우회 차단

  TLS verify_and_map을 구성한 경우 적용됩니다.

• securityMQTT의 $MQTT.> 구독 권한 우회 차단

  MQTT를 사용하는 경우 적용됩니다.

• 릴리스 페이지에 1건 더

조치 필요 (11)

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.79.3으로 업데이트되었습니다.

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.82.1으로 업데이트되었습니다.

• securityhelm.sh/helm/v4 업데이트

  helm.sh/helm/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/cloudflare/circl 업데이트

  github.com/cloudflare/circl 모듈이 보안 관련 수정과 함께 v1.6.3으로 업데이트되었습니다.

• securitygithub.com/go-jose/go-jose/v4 업데이트

  github.com/go-jose/go-jose/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/moby/spdystream 업데이트

  github.com/moby/spdystream 모듈이 보안 관련 수정과 함께 v0.5.1으로 업데이트되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 올라갔습니다.

• breakingIPAM 메트릭 제거

  IPAM 메트릭 cilium_operator_ipam_ips와 cilium_operator_ipam_available_interfaces가 제거되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 변경되었습니다.

• breaking네이티브 히스토그램 기본 활성화

  모든 히스토그램이 기본적으로 네이티브 히스토그램을 내보냅니다.

• breaking에이전트 부트스트랩 메트릭 제거

  에이전트 부트스트랩 메트릭이 제거되었습니다.

조치 필요 (1)

• breaking정의되지 않은 서비스 포트 요청 차단

  destination이 정의되지 않은 서비스 포트로 향하는 요청을 허용하지 않습니다.

영향 확인 (1)

• breakingHelm의 hostFirewall.enabled 비활성화 반영 수정

  hostFirewall.enabled를 Helm으로 true에서 false로 변경해 비활성화할 때 적용됩니다.

영향 확인 (11)

• securityhighHTTP/2 헤더 제한 및 플러드 방어 강화

  HTTP/2를 사용하는 경우에 적용됩니다.

• securityhighHTTP/3 QPACK 및 content-length 처리 수정

  HTTP/3를 사용하는 경우에 적용됩니다.

• securityhigh추가 보안 취약점 수정

  DNS 쿼리 검사, JSON 중첩 깊이 제한, PROXY 프로토콜 TLV, 포매터, TCP StatsD, TLS SAN 또는 Zstd 압축 해제를 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 8건 더

영향 확인 (1)

• breakingprotobuf 최소 지원 버전 상향

  Python을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakinggRPC Python 릴리스 1.82.0의 PyPI 제거

  gRPC Python release 1.82.0을 사용하는 경우에 적용됩니다.

영향 확인 (3)

• securityLeaf 연결의 Nats-Trace-Dest 권한 검사 우회 수정

  Leaf 연결을 사용하는 경우에 해당합니다.

• security부분 CONNECT 패킷으로 인한 사전 인증 메모리 고갈 수정

  MQTT를 사용하는 경우에 해당합니다.

• breaking모니터링 엔드포인트의 JSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 해당합니다.

영향 확인 (1)

• breakingJSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 적용됩니다.

영향 확인 (3)

• breakingKafka 4.1.x 지원 종료

  Kafka 4.1.x를 사용하면 이 변경이 적용됩니다.

• breakingTLS 인증 및 truststore 형식 변경

  KafkaBridge 또는 KafkaMirrorMaker2에서 TLS 인증이나 TLS truststore를 사용하면 이 변경이 적용됩니다.

• breakingentity-operator healthcheck 포트 이름 변경

  entity-operator healthcheck 포트를 사용하면 이 변경이 적용됩니다.

조치 필요 (12)

• securityhighCVE-2026-47220 충돌 버그 수정

  CVE-2026-47220와 관련된 충돌 버그를 수정했습니다.

• securityhighCVE-2026-48044 메모리 고갈 취약점 수정

  CVE-2026-48044와 관련된 메모리 고갈 취약점을 수정했습니다.

• securityhighJSON 중첩 깊이 제한

  envoy.reloadable_features.limit_json_parser_nesting_depth와 관련해 JSON 중첩 깊이를 1000으로 제한했습니다.

• securitymediumCVE-2026-47692 버그 수정

  CVE-2026-47692와 관련된 버그를 수정했습니다.

• securitymediumCVE-2026-47205 메모리 재사용 충돌 수정

  CVE-2026-47205와 관련된 메모리 해제 후 재사용으로 인한 충돌을 수정했습니다.

• securitymedium필터 해제 후 비동기 토큰 콜백 호출 수정

  필터가 해제된 뒤 비동기 토큰 변경 콜백이 호출되던 버그를 수정했습니다.

• securitymedium주체 대체 이름 검증 수정

  Envoy가 주체 대체 이름(SAN)을 검증하지 못하던 문제를 수정했습니다.

• securitymediumCVE-2026-47204 충돌 및 메모리 재사용 수정

  CVE-2026-47204와 관련된 충돌 및 메모리 해제 후 재사용 문제를 수정했습니다.

• securitymedium쿼리 이름 길이 검사 수정

  쿼리 이름 길이에 대한 정상성 검사를 수정했습니다.

• securitymedium패딩 오라클 문제 해결

  패딩 오라클 문제를 해결했습니다.

• securityGHSA-p7c7-7c47-pwch 서비스 거부 취약점 수정

  GHSA-p7c7-7c47-pwch와 관련된 서비스 거부 취약점을 수정했습니다.

• breaking메시지 로그 수준 변경

  메시지를 warn 수준으로 기록합니다.

조치 필요 (16)

• securityhighcom_github_wasmtime 업데이트

  wasm에서 com_github_wasmtime을 업데이트해 CVE-2026-47261을 해결했습니다.

• securityhighREQUESTED_SERVER_NAME 충돌 수정

  REQUESTED_SERVER_NAME 처리에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47220 및 GHSA-j9wh-4qfm-wf2v입니다.

• securityhighzstd RLE 압축 폭탄 처리 수정

  zstd RLE 압축 폭탄 문제를 수정했습니다. 관련 권고는 CVE-2026-48044 및 GHSA-m3p9-47wh-88wg입니다.

• securityhigh중첩 JSON 소멸 시 스택 넘침 수정

  중첩 수준이 높은 JSON을 소멸할 때 스택이 넘치던 문제를 수정했습니다. 관련 권고는 CVE-2026-48042 및 GHSA-f24p-rxw2-g6pv입니다.

• securityhighHTTP/3에서 HTTP/1로 이어지는 요청 밀반입 수정

  0이 아닌 Content-Length를 가진 헤더 전용 요청으로 HTTP/3에서 HTTP/1 요청 밀반입이 가능하던 문제를 수정했습니다. 관련 권고는 CVE-2026-48743 및 GHSA-8phg-2h2q-jgxf입니다.

• securitymedium경로별 Authz 처리 충돌 수정

  경로별 Authz 처리에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47205 및 GHSA-mvh9-767w-x47j입니다.

• securitymedium단일 gRPC 메시지의 ext_proc 응답 처리 수정

  하나의 gRPC 메시지에 담긴 ext_proc 응답 처리 문제를 수정했습니다. 관련 권고는 CVE-2026-47207 및 GHSA-68cv-hq5f-g6xv입니다.

• securitymedium라우터 내부 리디렉션 충돌 수정

  라우터 내부 리디렉션에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47221 및 GHSA-rcff-gw58-pjpr입니다.

• securitymediumOAuth2 코드 검증자 패딩 오라클 수정

  OAuth2 코드 검증자의 패딩 오라클 문제를 수정했습니다. 관련 권고는 CVE-2026-47775 및 GHSA-396h-jpq4-vc7p입니다.

• securitymediumgrpc_stats 필터 세그멘테이션 오류 수정

  direct_response 경로로 향하는 Connect 프로토콜 요청에서 grpc_stats 필터가 세그멘테이션 오류를 일으키던 문제를 수정했습니다. 관련 권고는 CVE-2026-47204 및 GHSA-3jxh-8p6x-7pf6입니다.

• securitymediumPROXY Protocol v2 헤더 생성기 데이터 유출 문제 수정

  PROXY Protocol v2 헤더 생성기가 "skipped" TLV를 내보내 업스트림 애플리케이션 스트림으로 공격자가 제어하는 65KB 데이터가 넘어가던 문제를 수정했습니다. 관련 권고는 CVE-2026-47692 및 GHSA-wh36-hm39-mm3r입니다.

• securitymediumTLS SAN 잘림 인증 우회 수정

  TLS SAN 잘림 과정에서 삽입된 NUL로 인증 우회가 가능하던 문제를 수정했습니다. 관련 권고는 CVE-2026-47778 및 GHSA-f8x4-rw5x-f3r7입니다.

• securitymediumOAuth2 필터의 지연된 비동기 토큰 완료 처리 수정

  스트림이 종료된 뒤 OAuth2 필터의 비동기 토큰 완료가 발생해 UAF 또는 충돌 위험을 일으키던 문제를 수정했습니다. 관련 권고는 CVE-2026-48090 및 GHSA-3cj2-c63f-q26f입니다.

• securitymediumDNS UDP 필터 비정상 종료 수정

  DNS UDP 필터에서 프로세스가 비정상적으로 종료되던 문제를 수정했습니다. 관련 권고는 CVE-2026-48497 및 GHSA-j6g2-wf95-q66q입니다.

• securitymediumTcpStatsdSink 힙 버퍼 넘침 수정

  TcpStatsdSink에서 힙 버퍼가 넘치던 문제를 수정했습니다. 관련 권고는 CVE-2026-48706 및 GHSA-7q3f-gwg7-j8g4입니다.

• securityQPACK 차단 디코딩을 이용한 HTTP/3 서비스 거부 수정

  QPACK 디코딩이 차단되는 상황을 이용한 HTTP/3 스택 서비스 거부 문제를 수정했습니다. 관련 권고는 GHSA-p7c7-7c47-pwch입니다.

조치 필요 (1)

• securityhighwasm com_github_wasmtime 의존성 갱신

  CVE-2026-47261을 해결하기 위해 wasm의 com_github_wasmtime 의존성을 올렸습니다.

조치 필요 (1)

• securityhigh중첩된 JSON 소멸 시 스택 오버플로 수정

  깊게 중첩된 JSON을 소멸할 때 발생하던 스택 오버플로를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

조치 필요 (1)

• securityhigh중첩 JSON 소멸 시 스택 오버플로 수정

  중첩이 깊은 JSON을 소멸할 때 스택 오버플로가 발생하는 문제를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

조치 필요 (2)

• securityhighCVE-2026-55225 취약점 수정

  CVE-2026-55225 취약점이 수정되었습니다.

• securitymediumCVE-2026-55226 취약점 수정

  CVE-2026-55226 취약점이 수정되었습니다.

영향 확인 (3)

• security선택자가 없는 ipBlock 규칙의 네임스페이스 우회 수정

  ipBlock을 설정한 경우에 해당합니다.

• breakingloadBalancer.standalone Helm 옵션 제거

  loadBalancer.standalone을 설정한 경우에 해당합니다.

• breakingl2podAnnouncements.interface Helm 값 제거

  l2podAnnouncements.interface를 설정하고 L2 파드 알림을 활성화한 경우에 해당합니다.

영향 확인 (1)

• breakingExternalWorkloads 엔드포인트를 동일 네임스페이스로 제한

  ExternalWorkloads를 사용하는 경우에 적용됩니다.

영향 확인 (3)

• breaking암호 스위트 기본 동작 변경

  allow_insecure_cipher_suites를 활성화한 경우에 적용됩니다.

• breakingJetStream 요청 엄격 모드 기본 활성화

  JetStream을 사용하는 경우에 적용됩니다.

• breaking새 기능 사용 시 다운그레이드 호환성 제한

  새로운 v2.12 기능을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingerror_flatten 실험 기본 활성화

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

조치 필요 (1)

• securityhighEnvoy 메모리 고갈 서비스 거부 취약점 수정

  CVE-2026-47774은 인증되지 않은 원격 공격자가 특수하게 만든 HTTP/2 요청으로 Envoy 프로세스의 메모리를 고갈시켜 서비스 거부를 일으킬 수 있는 문제입니다. 쿠키 헤더 바이트가 요청 헤더 크기 검증에 모두 포함되지 않았고, HPACK 헤더 블록 제한도 디코딩된 전체 헤더 크기가 아닌 인코딩된 바이트에만 적용됐던 점을 수정했습니다. CVSS 점수는 7.5입니다.

조치 필요 (1)

• securityhighnghttp2 취약점 패치 적용

  nghttp2에 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (1)

• breakingIstio 이미지 기본 레지스트리 변경

  Istio 이미지의 기본 레지스트리가 registry.istio.io로 변경되었습니다.

조치 필요 (1)

• security네임스페이스 간 프록시 및 설정 덤프 접근 차단

  인증된 워크로드가 다른 네임스페이스의 프록시를 열거하고 설정 덤프를 가져갈 수 있던 문제를 수정했습니다. istio.io/debug/syncz와 istio.io/debug/config_dump에 관련된 접근이 영향을 받았습니다.

조치 필요 (2)

• securitygithub.com/moby/spdystream 모듈 업데이트

  보안 관련 갱신으로 github.com/moby/spdystream 모듈을 v0.5.1로 업데이트했습니다.

• breaking서비스 라벨에 따른 EndpointSlice 감시 필터링

  loadbalancer/reflectors에서 EndpointSlice 감시 대상이 서비스 라벨에 따라 필터링됩니다.

조치 필요 (1)

• securitygithub.com/moby/spdystream 의존성 업데이트

  github.com/moby/spdystream 의존성을 v0.5.1로 업데이트했습니다.

영향 확인 (1)

• breaking지원되는 Kubernetes 최소 버전 상향

  클러스터에서 1.31보다 오래된 Kubernetes를 실행하는 경우 적용됩니다.

영향 확인 (1)

• breaking보존 메시지 제목의 ASCII DEL 문자 제한

  보존 메시지를 사용하는 경우에 적용됩니다.

조치 필요 (2)

• breakingUseConnectBuildWithBuildah 기본 활성화

  UseConnectBuildWithBuildah 기능 게이트가 베타 단계로 전환되며 기본값으로 활성화됩니다.

• breakingHTTP Bridge의 /metrics 엔드포인트 위치 변경

  /metrics 엔드포인트가 일반 HTTP 인터페이스에서 제거됩니다. 기본 포트가 8080인 일반 인터페이스 대신 HTTP 관리 인터페이스의 8081 포트에서 사용할 수 있습니다.

조치 필요 (1)

• securityhighnghttp2의 CVE-2026-27135 보안 패치 적용

  nghttp2에 CVE-2026-27135 패치가 적용되었습니다.

영향 확인 (2)

• securityhighHTTPProxy 쿠키 재작성 값의 코드 실행 취약점 수정

  HTTPProxy 리소스를 사용하는 경우에 적용됩니다.

• breaking필수 Envoy 버전 상향

  Envoy에 의존하는 경우에 적용됩니다.

영향 확인 (3)

• security큐 구독의 ACL deny 우회 수정

  큐 구독을 사용하고 큐가 아닌 ACL deny 패턴을 설정한 경우에 적용됩니다.

• breakingno_auth_user 사용 범위 제한

  no_auth_user를 설정한 경우에 적용됩니다.

• breaking요청형 리프 연결의 중복 INFO 업데이트 제한

  요청형 리프 연결을 사용하는 경우에 적용됩니다.

영향 확인 (2)

• breakingno_auth_user 적용 범위 제한

  no_auth_user를 설정한 경우 적용됩니다.

• breaking중복 INFO 권한 업데이트 허용 범위 조정

  요청형 리프 연결을 사용하는 경우 적용됩니다.

조치 필요 (1)

• security의존 항목과 Python 인터프리터 업데이트

  여러 의존 항목과 Python 인터프리터를 업데이트해 CVEs를 해결했습니다.

영향 확인 (1)

• breakingPython의 EventEngine 기본 활성화와 포크 지원

  Python 또는 Ruby를 사용하는 경우 적용됩니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한을 1MB로 설정했습니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한이 이제 1MB로 설정됩니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc를 v1.79.3으로 업데이트

  google.golang.org/grpc가 v1.79.3으로 업데이트되었습니다. 이 버전은 CVE-2026-33186과 GHSA-p77j-4mvh-x3m3에 대응하지만, Contour는 해당 취약점의 영향을 받지 않습니다.

• securityEnvoy를 v1.35.9로 업데이트

  보안 취약점을 해결한 v1.35.9로 Envoy 버전이 올라갔습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc v1.79.3 업데이트

  google.golang.org/grpc를 v1.79.3으로 업데이트했습니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3와 관련된 보안 권고를 반영하지만, 해당 취약점은 Contour에 영향을 주지 않습니다.

• securityEnvoy v1.34.13 업데이트

  보안 취약점을 해결하고 안정성을 높이기 위해 Envoy를 v1.34.13으로 업데이트했습니다.