릴리스

영향 확인 (1)

• securityendpoint의 CIDR 정책 우회와 재시작 후 트래픽 드롭 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

조치 필요 (1)

• securityCVE 대응을 위한 의존 항목 업데이트

  CVE를 수정하도록 의존 항목을 업데이트했습니다.

영향 확인 (4)

• security공백만 있는 권한으로 인한 JWT 검증 중단 수정

  JWT 검증을 사용하는 경우 적용됩니다.

• securityverify_and_map의 빈 비밀번호 인증 우회 차단

  TLS verify_and_map을 구성한 경우 적용됩니다.

• securityMQTT의 $MQTT.> 구독 권한 우회 차단

  MQTT를 사용하는 경우 적용됩니다.

• 릴리스 페이지에 1건 더

조치 필요 (1)

• breaking디스크 동시성 세마포어 기본 용량 증가

  디스크 동시성 세마포어가 CPU에 따라 계산하던 이전 값에서 4096개 슬롯으로 늘어났습니다. 관련 변경 사항은 #8336에 해당합니다.

조치 필요 (11)

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.79.3으로 업데이트되었습니다.

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.82.1으로 업데이트되었습니다.

• securityhelm.sh/helm/v4 업데이트

  helm.sh/helm/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/cloudflare/circl 업데이트

  github.com/cloudflare/circl 모듈이 보안 관련 수정과 함께 v1.6.3으로 업데이트되었습니다.

• securitygithub.com/go-jose/go-jose/v4 업데이트

  github.com/go-jose/go-jose/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/moby/spdystream 업데이트

  github.com/moby/spdystream 모듈이 보안 관련 수정과 함께 v0.5.1으로 업데이트되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 올라갔습니다.

• breakingIPAM 메트릭 제거

  IPAM 메트릭 cilium_operator_ipam_ips와 cilium_operator_ipam_available_interfaces가 제거되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 변경되었습니다.

• breaking네이티브 히스토그램 기본 활성화

  모든 히스토그램이 기본적으로 네이티브 히스토그램을 내보냅니다.

• breaking에이전트 부트스트랩 메트릭 제거

  에이전트 부트스트랩 메트릭이 제거되었습니다.

영향 확인 (1)

• securityTLS 키 교환 기본값의 양자 내성 암호화 전환

  TLS 키 교환을 사용할 때 적용됩니다.

영향 확인 (11)

• securityhighHTTP/2 헤더 제한 및 플러드 방어 강화

  HTTP/2를 사용하는 경우에 적용됩니다.

• securityhighHTTP/3 QPACK 및 content-length 처리 수정

  HTTP/3를 사용하는 경우에 적용됩니다.

• securityhigh추가 보안 취약점 수정

  DNS 쿼리 검사, JSON 중첩 깊이 제한, PROXY 프로토콜 TLV, 포매터, TCP StatsD, TLS SAN 또는 Zstd 압축 해제를 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 8건 더

영향 확인 (3)

• securityLeaf 연결의 Nats-Trace-Dest 권한 검사 우회 수정

  Leaf 연결을 사용하는 경우에 해당합니다.

• security부분 CONNECT 패킷으로 인한 사전 인증 메모리 고갈 수정

  MQTT를 사용하는 경우에 해당합니다.

• breaking모니터링 엔드포인트의 JSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 해당합니다.

조치 필요 (7)

• securityhighCVE-2026-48044 Zstd 압축 해제 중 메모리 고갈 수정

  Zstd decompressor가 입력 조각 전체를 처리한 뒤에만 MaxInflateRatio 제한을 확인해, 조작된 압축 페이로드가 한 번의 process() 호출에서 수백 MB로 확장될 수 있던 문제를 수정했습니다. 이제 내부 압축 해제 반복문에서 확장 비율을 확인하고 한도를 넘는 즉시 압축 해제를 중단합니다.

• securitymediumCVE-2026-47692 PROXY protocol 헤더 길이 불일치 수정

  통과 TLV와 추가 TLV를 함께 처리할 때 최대 길이를 초과해 헤더에 기록된 크기와 실제로 작성된 바이트 수가 달라지는 문제를 수정했습니다. 이 문제로 PROXY protocol 헤더를 작성하는 호스트가 상위 호스트로 요청을 밀반입할 수 있었습니다.

• securitymediumCVE-2026-47221 HTTP 303 내부 리디렉션 충돌 수정

  본문이 없는 요청의 HTTP 303 내부 리디렉션을 처리할 때 할당되지 않은 요청 본문 버퍼를 비우려다 세그멘테이션 오류가 발생하는 문제를 수정했습니다.

• securitymediumCVE-2026-48090 필터 해제 후 비동기 콜백 접근 수정

  필터가 해제되고 onDestroy()가 호출된 뒤에도 비동기 토큰 변경 콜백이 실행될 수 있어, 유효하지 않은 포인터에 접근하거나 충돌할 수 있던 문제를 수정했습니다.

• securitymediumCVE-2026-47778 인증서 SAN의 NUL 바이트 검증 수정

  피어 인증서의 SAN에 임베디드 NUL 바이트가 포함되면 Envoy가 SAN을 올바르게 검증하지 못할 수 있던 문제를 수정했습니다. 일부 설정에서 SAN 파싱이 NUL 바이트로 잘려 잘못된 신뢰 판단으로 이어질 수 있었습니다.

• securitymediumCVE-2026-48497 쿼리 이름 길이 검사 보완

  쿼리 이름 길이에 대한 검사를 보완해 비정상적인 프로세스 종료를 막았습니다. 검사에 실패하면 ENVOY_BUG를 사용합니다.

• securityHTTP/3 QPACK 디코딩 중 메모리 고갈 취약점 수정

  QPACK 동적 테이블 갱신을 기다리며 차단된 헤더 블록의 HEADERS 페이로드가 QUIC 수신 흐름 제어 계산에서는 해제되지만 내부 디코더 힙 버퍼에는 남아 있던 문제를 수정했습니다. 이로 인해 원격 공격자가 메모리를 제한 없이 늘려 메모리 부족 상태를 일으킬 수 있었습니다.

조치 필요 (4)

• securitymediumHTTP 303 내부 리디렉션의 요청 본문 처리 수정

  CVE-2026-47221에 해당하는 문제를 수정했습니다. 본문이 없는 요청에서 HTTP 303 내부 리디렉션을 처리할 때 할당되지 않은 요청 본문 버퍼를 비우려 해 세그멘테이션 오류가 발생하던 문제를 해결했습니다.

• securitymedium필터 해제 뒤 비동기 토큰 콜백 실행 수정

  CVE-2026-48090에 해당하는 문제를 수정했습니다. 필터가 해제된 뒤, 즉 onDestroy()가 호출된 뒤에도 비동기 토큰 변경 콜백이 실행되어 유효하지 않은 포인터를 참조하고 비정상 종료할 수 있던 문제를 해결했습니다.

• securitymedium인증서 SAN의 널 바이트 검증 수정

  CVE-2026-47778에 해당하는 문제를 수정했습니다. 피어 인증서의 주체 대체 이름에 포함된 널 바이트 때문에 일부 설정에서 이름 파싱이 중간에 잘려 잘못된 신뢰 판단으로 이어질 수 있었고, Envoy가 이를 올바르게 검증하지 못하던 문제를 해결했습니다.

• securitymedium쿼리 이름 길이 확인 수정

  CVE-2026-48497에 해당하는 문제를 수정했습니다. 쿼리 이름 길이의 정상 여부를 확인해 비정상적인 프로세스 종료를 막고, 확인에 실패하면 ENVOY_BUG를 사용하도록 했습니다.

조치 필요 (12)

• securityhighCVE-2026-47220 충돌 버그 수정

  CVE-2026-47220와 관련된 충돌 버그를 수정했습니다.

• securityhighCVE-2026-48044 메모리 고갈 취약점 수정

  CVE-2026-48044와 관련된 메모리 고갈 취약점을 수정했습니다.

• securityhighJSON 중첩 깊이 제한

  envoy.reloadable_features.limit_json_parser_nesting_depth와 관련해 JSON 중첩 깊이를 1000으로 제한했습니다.

• securitymediumCVE-2026-47692 버그 수정

  CVE-2026-47692와 관련된 버그를 수정했습니다.

• securitymediumCVE-2026-47205 메모리 재사용 충돌 수정

  CVE-2026-47205와 관련된 메모리 해제 후 재사용으로 인한 충돌을 수정했습니다.

• securitymedium필터 해제 후 비동기 토큰 콜백 호출 수정

  필터가 해제된 뒤 비동기 토큰 변경 콜백이 호출되던 버그를 수정했습니다.

• securitymedium주체 대체 이름 검증 수정

  Envoy가 주체 대체 이름(SAN)을 검증하지 못하던 문제를 수정했습니다.

• securitymediumCVE-2026-47204 충돌 및 메모리 재사용 수정

  CVE-2026-47204와 관련된 충돌 및 메모리 해제 후 재사용 문제를 수정했습니다.

• securitymedium쿼리 이름 길이 검사 수정

  쿼리 이름 길이에 대한 정상성 검사를 수정했습니다.

• securitymedium패딩 오라클 문제 해결

  패딩 오라클 문제를 해결했습니다.

• securityGHSA-p7c7-7c47-pwch 서비스 거부 취약점 수정

  GHSA-p7c7-7c47-pwch와 관련된 서비스 거부 취약점을 수정했습니다.

• breaking메시지 로그 수준 변경

  메시지를 warn 수준으로 기록합니다.

조치 필요 (1)

• securityhighwasm com_github_wasmtime 의존성 갱신

  CVE-2026-47261을 해결하기 위해 wasm의 com_github_wasmtime 의존성을 올렸습니다.

조치 필요 (1)

• securityhigh중첩된 JSON 소멸 시 스택 오버플로 수정

  깊게 중첩된 JSON을 소멸할 때 발생하던 스택 오버플로를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

조치 필요 (1)

• securityhigh중첩 JSON 소멸 시 스택 오버플로 수정

  중첩이 깊은 JSON을 소멸할 때 스택 오버플로가 발생하는 문제를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

영향 확인 (3)

• security선택자가 없는 ipBlock 규칙의 네임스페이스 우회 수정

  ipBlock을 설정한 경우에 해당합니다.

• breakingloadBalancer.standalone Helm 옵션 제거

  loadBalancer.standalone을 설정한 경우에 해당합니다.

• breakingl2podAnnouncements.interface Helm 값 제거

  l2podAnnouncements.interface를 설정하고 L2 파드 알림을 활성화한 경우에 해당합니다.

조치 필요 (1)

• securityhighnghttp2 취약점 패치 적용

  nghttp2에 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  nghttp2의 CVE-2026-27135 패치를 적용했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 반영

  http2에 nghttp2의 CVE-2026-27135 패치를 반영했습니다.

조치 필요 (1)

• securityhighnghttp2 보안 패치 적용

  http2에 CVE-2026-27135에 대한 nghttp2 패치를 적용했습니다.

조치 필요 (1)

• securitycriticalgolang.org/x/net 업데이트

  golang.org/x/net을 v0.55.0으로 업데이트했습니다. 이 변경은 CVE-2026-39821과 관련됩니다.

조치 필요 (1)

• security네임스페이스 간 프록시 및 설정 덤프 접근 차단

  인증된 워크로드가 다른 네임스페이스의 프록시를 열거하고 설정 덤프를 가져갈 수 있던 문제를 수정했습니다. istio.io/debug/syncz와 istio.io/debug/config_dump에 관련된 접근이 영향을 받았습니다.

조치 필요 (1)

• securityXDS 디버그 엔드포인트의 네임스페이스 권한 검사 수정

  StatusGen이 제공하는 istio.io/debug/syncz와 istio.io/debug/config_dump에 동일 네임스페이스 권한 검사가 적용됩니다. 이제 시스템 호출자가 아닌 요청은 같은 네임스페이스의 대상만 조회할 수 있으며, 다른 네임스페이스 워크로드의 프록시 목록이나 구성 덤프를 열람할 수 없습니다.

영향 확인 (2)

• security/connz 모니터링 엔드포인트의 베어러 JWT 노출 차단

  /connz 모니터링 엔드포인트를 사용하는 경우에 적용됩니다.

• security명령줄 인수로 전달한 라우트와 클러스터 URL 비밀값 마스킹

  라우트와 클러스터 URL 비밀값을 명령줄 인수로 전달하는 경우에 적용됩니다.

조치 필요 (1)

• securityhighnghttp2의 CVE-2026-27135 보안 패치 적용

  nghttp2에 CVE-2026-27135 패치가 적용되었습니다.

영향 확인 (2)

• securityhighHTTPProxy 쿠키 재작성 값의 코드 실행 취약점 수정

  HTTPProxy 리소스를 사용하는 경우에 적용됩니다.

• breaking필수 Envoy 버전 상향

  Envoy에 의존하는 경우에 적용됩니다.

영향 확인 (1)

• securityhighCookie Rewriting의 Lua 코드 주입 취약점 수정

  cookieRewritePolicies[].pathRewrite.value를 설정한 경우 적용됩니다.

영향 확인 (3)

• security큐 구독의 ACL deny 우회 수정

  큐 구독을 사용하고 큐가 아닌 ACL deny 패턴을 설정한 경우에 적용됩니다.

• breakingno_auth_user 사용 범위 제한

  no_auth_user를 설정한 경우에 적용됩니다.

• breaking요청형 리프 연결의 중복 INFO 업데이트 제한

  요청형 리프 연결을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한을 1MB로 설정했습니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한이 이제 1MB로 설정됩니다.

영향 확인 (2)

• securityenvoy 관리자 소켓 접근 권한 수정

  envoy를 실행하는 경우에 적용됩니다.

• security로컬 백엔드의 ingress policies 우회 수정

  ingress policies와 local backends를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityenvoy admin socket의 공개 접근 문제 수정

  Envoy가 실행 중인 경우 적용됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 충돌하던 문제를 수정했습니다. 이 수정은 CVE-2026-26310 및 GHSA-3cw6-2j68-868p와 관련됩니다.

• securitymedium문자열 null 종료 문자 쓰기 오류 수정

  문자열의 null 종료 문자를 손상시킬 수 있던 하나 차이 쓰기 오류를 수정했습니다. 이 수정은 CVE-2026-26309 및 GHSA-56cj-wgg3-x943와 관련됩니다.

• securitymedium하위 연결 초기화 뒤 decode* 메서드 차단

  하위 연결이 초기화된 뒤 decode* 메서드가 실행되지 않도록 차단했습니다. 이 수정은 CVE-2026-26311 및 GHSA-84xm-r438-86px와 관련됩니다.

조치 필요 (3)

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310 (GHSA-3cw6-2j68-868p)와 관련해 범위가 지정된 IPv6 주소로 getAddressWithPort()를 호출할 때 발생하던 충돌을 수정했습니다.

• securitymedium문자열 null 종결자 손상 수정

  CVE-2026-26309 (GHSA-56cj-wgg3-x943)와 관련해 문자열의 null 종결자를 손상시킬 수 있던 off-by-one 쓰기를 수정했습니다.

• securitymedium하위 연결 재설정 후 decode* 실행 차단

  CVE-2026-26311 (GHSA-84xm-r438-86px)와 관련해 하위 연결이 재설정된 뒤 decode* 메서드가 실행되지 않도록 수정했습니다.

조치 필요 (1)

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에서 JSON 오프바이원 쓰기가 발생하던 문제를 수정했습니다.

조치 필요 (7)

• securityhigh다중 값 헤더를 이용한 RBAC 우회 수정

  CVE-2026-26308에서 다중 값 헤더를 이용한 RBAC 우회 문제를 수정했습니다.

• securityhighJWKS 확인자 오류에 따른 인증 우회 수정

  CVE-2026-31837 및 GHSA-v75c-crr9-733c와 관련해 JWKS 확인자 오류로 알려진 기본 키를 사용한 인증 우회가 가능하던 문제를 수정했습니다.

• securitymedium다운스트림 리셋 이후 HTTP 디코드 메서드 처리 수정

  CVE-2026-26311과 관련해 다운스트림 리셋 이후 HTTP 디코드 메서드가 차단되도록 수정했습니다.

• securitymedium범위 지정 IPv6 주소 처리 중 충돌 수정

  범위가 지정된 IPv6 주소에서 getAddressWithPort()가 충돌하던 문제를 CVE-2026-26310 수정 사항에 반영했습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  JSON 오프바이원 쓰기 오류를 수정했습니다. 이 문제는 CVE-2026-26309에 해당합니다.

• securitymediumRatelimit 응답 단계 충돌 수정

  ratelimit 응답 단계에서 충돌하던 문제를 CVE-2026-26330 수정 사항에 반영했습니다.

• securitymedium디버그 엔드포인트의 네임스페이스 간 프록시 데이터 접근 수정

  CVE-2026-31838 및 GHSA-974c-2wxh-g4ww와 관련해 디버그 엔드포인트를 통한 네임스페이스 간 프록시 데이터 접근 문제를 수정했습니다.

조치 필요 (3)

• securitymedium하위 연결 재설정 후 HTTP 디코드 처리 수정

  CVE-2026-26311에 대응해 하위 연결이 재설정된 뒤 HTTP 디코드 메서드가 차단되던 문제가 수정됐습니다.

• securitymedium범위 지정 IPv6 주소 처리 충돌 수정

  CVE-2026-26310에 대응해 범위가 지정된 IPv6 주소를 getAddressWithPort()에서 처리할 때 발생하던 충돌이 수정됐습니다.

• securitymediumJSON 오프바이원 쓰기 수정

  CVE-2026-26309에 대응해 JSON 쓰기에서 발생하던 오프바이원 오류가 수정됐습니다.

영향 확인 (3)

• securityCVE-2026-29785 수정

  leafnode compression이 활성화된 경우에 적용됩니다.

• securityCVE-2026-27889 수정

  WebSockets가 활성화된 경우에 적용됩니다.

• breakingmax_conns에 0 설정 지원

  서버 설정에서 max_conns를 지정하는 경우에 적용됩니다.

영향 확인 (2)

• securityhighCVE-2026-29785 수정

  CVE-2026-29785가 존재하고 leafnode compression이 활성화된 경우 적용됩니다.

• securityhighCVE-2026-27889 수정

  CVE-2026-27889가 존재하고 WebSockets가 활성화된 경우 적용됩니다.

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (1)

• security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

  리소스 주석 검증이 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링으로 Pod 사양에 컨테이너를 삽입하는 경로를 차단합니다. (Issue #58889)