CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
보안 수정과 CVE 대응을 위한 의존 항목 업데이트가 포함되어 있습니다. 의존 항목 버전이 바뀌었고, 테스트 대상 Kubernetes 범위도 1.32부터 1.34까지로 갱신되었습니다.
조치 필요 (1)
securityCVE 대응을 위한 의존 항목 업데이트
CVE를 수정하도록 의존 항목을 업데이트했습니다.
영향 확인 (1)
security가상 호스트 외부 권한 부여 우회 수정
authPolicy가 설정되지 않은 경우 적용됩니다.
가상 호스트에서 authPolicy를 설정하지 않았을 때 외부 권한 부여가 우회되던 보안 문제를 수정했습니다. 관련 권고 식별자는 GHSA-cf57-xf33-fg5h입니다.
잘못된 HTTPProxy 구성에 관한 보안 수정과 의존성 및 도구체인 업데이트가 포함되어 있습니다. Kubernetes 1.32부터 1.34까지 테스트된 호환성 범위가 명시되어 있습니다.
조치 필요 (1)
securitycriticalgolang. 업데이트
golang.을 v0.55.0으로 업데이트했습니다. 이 변경은 CVE-2026-39821과 관련됩니다.
영향 확인 (1)
securitymedium잘못된 HTTPProxy 구성 거부
fallback certificate를 설정하고 JWT verification을 활성화한 경우에 적용됩니다.
fallback certificate를 설정하고 JWT verification을 활성화한 HTTPProxy에서 TLS SNI가 없거나 인식되지 않는 SNI를 사용하는 요청이 JWT 검증을 우회하던 버그를 수정했습니다. 이제 Contour가 이 잘못된 구성을 거부합니다.
이번 릴리스에는 Lua 코드 주입 취약점 수정과 Envoy 버전 및 의존성 업데이트가 포함됩니다. 테스트한 Kubernetes 호환 범위는 1.32부터 1.34까지로 갱신되었습니다.
영향 확인 (2)
securityhighHTTPProxy 쿠키 재작성 값의 코드 실행 취약점 수정
HTTPProxy 리소스를 사용하는 경우에 적용됩니다.
RBAC 권한으로 HTTPProxy 리소스를 만들거나 수정할 수 있는 공격자가 악의적인 cookieRewritePolicies[].를 구성하면 Envoy 프록시에서 임의 코드가 실행될 수 있는 문제를 수정했습니다. 관련 식별자는 CVE-2026-41246과 GHSA-x4mj-7f9g-29h4입니다.
breaking필수 Envoy 버전 상향
Envoy에 의존하는 경우에 적용됩니다.
이 릴리스부터 Envoy 1.35.0 이상이 필요합니다.
이번 릴리스는 Cookie Rewriting의 보안 취약점을 수정하고 Envoy를 v1.로 갱신했습니다. Kubernetes 1.30부터 1.32까지의 호환성을 기준으로 테스트했습니다.
영향 확인 (1)
securityhighCookie Rewriting의 Lua 코드 주입 취약점 수정
cookieRewritePolicies[].를 설정한 경우 적용됩니다.
Cookie Rewriting 기능의 Lua 코드 주입 취약점인 CVE-2026-41246을 수정했습니다.
의존성 보안 갱신과 예시 매니페스트 조정이 포함되어 있습니다. Kubernetes 1.32부터 1.34까지의 호환성 테스트 범위도 문서화되었습니다.
조치 필요 (2)
securitycriticalgoogle.를 v1.으로 업데이트
google.가 v1.으로 업데이트되었습니다. 이 버전은 CVE-2026-33186과 GHSA-p77j-4mvh-x3m3에 대응하지만, Contour는 해당 취약점의 영향을 받지 않습니다.
securityEnvoy를 v1.로 업데이트
보안 취약점을 해결한 v1.로 Envoy 버전이 올라갔습니다.
영향 확인 (1)
breaking예시 매니페스트의 hostPort 설정 제거
예시 매니페스트에서 hostPort를 사용한다면 적용됩니다.
예시 매니페스트에서 Envoy 메트릭의 hostPort: 8002 설정이 제거되었습니다. (#7476)
의존성 두 건이 업데이트되고 예제 매니페스트의 설정이 제거되었습니다. Kubernetes 1.31부터 1.33까지의 호환성이 명시되어 있으며, 두 제목에는 운영자가 별도로 적용할 변경 사항이 없습니다.
조치 필요 (2)
securitycriticalgoogle. v1. 업데이트
google.를 v1.으로 업데이트했습니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3와 관련된 보안 권고를 반영하지만, 해당 취약점은 Contour에 영향을 주지 않습니다.
securityEnvoy v1. 업데이트
보안 취약점을 해결하고 안정성을 높이기 위해 Envoy를 v1.으로 업데이트했습니다.
영향 확인 (1)
breaking예제 매니페스트의 hostPort: 8002 제거
hostPort: 8002가 예제 매니페스트에 설정된 경우 적용됩니다.
예제 매니페스트에서 Envoy 메트릭의 hostPort: 8002 설정을 제거했습니다. (#7476)
의존성 보안 업데이트와 예시 매니페스트 정리가 포함되어 있습니다. Kubernetes 1.30부터 1.32까지 테스트한 범위도 문서화되어 있습니다.
조치 필요 (2)
securitycriticalgoogle. 버전 업데이트
google.가 v1.으로 업데이트됩니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3에 대응하며, Contour는 해당 취약점의 영향을 받지 않습니다.
securityEnvoy 버전 업데이트
Envoy가 v1.으로 업데이트됩니다.
영향 확인 (1)
breaking예시 매니페스트의 Envoy metrics 설정 제거
hostPort: 8002를 사용하는 예시 매니페스트에 적용됩니다.
예시 매니페스트에서 Envoy metrics의 hostPort: 8002 설정이 제거됩니다.
