릴리스

영향 확인 (2)

• securityAuthZEN 검색 메타데이터의 엔드포인트 URL 수정

  authzen.baseURL이 설정된 경우에 적용됩니다.

• security테스트용 github.com/docker/docker 패키지 교체

  테스트를 실행하는 경우에 적용됩니다.

영향 확인 (1)

• securitymediumGHSA-hr2v-4r36-88hr에 따른 Helm Chart 추출 경로 오류 수정

  Helm Chart 추출을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitymediumGHSA-hr2v-4r36-88hr 보안 결함 수정

  보안 권고 GHSA-hr2v-4r36-88hr와 관련된 결함이 수정되었습니다.

조치 필요 (6)

• security비밀번호와 OTP 무차별 대입 방어 분리

  비밀번호와 OTP의 무차별 대입 방어가 분리되어 OTP 우회 공격을 기본적으로 막습니다.

• securityResourceAdminManager의 URL 생성 검증 보완

  ResourceAdminManager에서 매트릭스 매개변수 주입으로 검증되지 않은 URL을 생성할 수 있던 문제가 수정됩니다.

• security클라이언트 조회 안티 피싱 검사 보완

  클라이언트 조회 시 안티 피싱 검사가 빠져 있던 문제가 수정됩니다.

• breaking무중단 패치 릴리스 기본 활성화

  무중단 패치 릴리스가 지원 대상으로 승격되고 기본값으로 활성화됩니다.

• breaking--truststore-kubernetes-enabled 기본 활성화

  --truststore-kubernetes-enabled 동작이 기본값으로 활성화됩니다.

• breakingnot-before 검증 기본값 변경

  not-before 검증의 기본값이 0초에서 10초로 변경됩니다.

조치 필요 (1)

• securitymediumBatchCheck 정책 적용 오류 수정

  동일한 튜플에 여러 검사를 담은 BatchCheck 호출에서 정책이 잘못 적용될 수 있던 문제를 수정했습니다. 관련 보안 권고 식별자는 CVE-2026-34972입니다.

영향 확인 (1)

• securityBuildKit 및 CNI plugins 보안 업데이트 안내

  BuildKit 또는 CNI plugins를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitymedium정적 파일 접근 차단 문제 수정

  CVE-2026-1002에 따라 io.vertx/vertx-core의 정적 핸들러 구성 요소 캐시를 조작해 정적 파일 접근을 막을 수 있던 문제를 수정했습니다.

영향 확인 (1)

• breakingTSDB 보존 기간 단위 불일치 수정

  storage.tsdb.retention.time을 설정한 경우에 해당합니다.

영향 확인 (1)

• breaking분할 버킷 할당 개선

  프로바이더를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalgRPC 의존성 보안 업데이트

  영향받은 google.golang.org/grpc 의존성이 CVE-2026-33186을 해결하는 버전으로 올라갔습니다.

영향 확인 (5)

• breakingCDH의 Go 지원 제거

  CDH를 사용한다면 적용됩니다.

• breakingCanonical TDX Tech preview 지원 중단

  Canonical TDX Tech preview를 사용한다면 적용됩니다.

• breakingUbuntu 사용 버전 요건 변경

  Ubuntu 24.04.4 (linux-image-generic-hwe-24.04) 또는 25.10을 사용한다면 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (1)

• security의존 항목과 Python 인터프리터 업데이트

  여러 의존 항목과 Python 인터프리터를 업데이트해 CVEs를 해결했습니다.

영향 확인 (1)

• breaking사용자 정의 HTTPAuthPlugin 인증 처리 위치 변경

  HTTPAuthPlugin을 직접 구현해 사용하는 경우에 적용됩니다.

영향 확인 (1)

• breakingPython의 EventEngine 기본 활성화와 포크 지원

  Python 또는 Ruby를 사용하는 경우 적용됩니다.

조치 필요 (2)

• securityGo 패키지 취약점 수정

  취약점 수정을 위해 Go 패키지를 업데이트합니다.

• securityUI 패키지 취약점 수정

  취약점 수정을 위해 UI 패키지를 업데이트합니다.

영향 확인 (1)

• breakingnodes/proxy RBAC 권한 부여 제거

  nodes/proxy를 사용하는 경우에 적용됩니다.

영향 확인 (7)

• breakingvirt-controller ClusterRole의 네트워크 첨부 정의 조회 권한 제거

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breaking일시 중지된 VMI의 중지 요청 거부

  일시 중지된 VMI를 실행하는 경우에 해당합니다.

• breakingEnableVirtioFsConfigVolumes 기능의 정식 단계 승격

  EnableVirtioFsConfigVolumes 기능 게이트를 사용하는 경우에 해당합니다.

• 릴리스 페이지에 4건 더

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한을 1MB로 설정했습니다.

조치 필요 (1)

• breakingJWT 크기 1MB 제한

  JWT 크기 제한이 이제 1MB로 설정됩니다.

영향 확인 (1)

• securitymedium조건부 캐시 결과 오류를 일으키는 보안 취약점 수정

  Check 요청에서 조건을 사용하고 캐싱이 활성화된 경우에 적용됩니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc를 v1.79.3으로 업데이트

  google.golang.org/grpc가 v1.79.3으로 업데이트되었습니다. 이 버전은 CVE-2026-33186과 GHSA-p77j-4mvh-x3m3에 대응하지만, Contour는 해당 취약점의 영향을 받지 않습니다.

• securityEnvoy를 v1.35.9로 업데이트

  보안 취약점을 해결한 v1.35.9로 Envoy 버전이 올라갔습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc v1.79.3 업데이트

  google.golang.org/grpc를 v1.79.3으로 업데이트했습니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3와 관련된 보안 권고를 반영하지만, 해당 취약점은 Contour에 영향을 주지 않습니다.

• securityEnvoy v1.34.13 업데이트

  보안 취약점을 해결하고 안정성을 높이기 위해 Envoy를 v1.34.13으로 업데이트했습니다.

조치 필요 (2)

• securitycriticalgoogle.golang.org/grpc 버전 업데이트

  google.golang.org/grpc가 v1.79.3으로 업데이트됩니다. 이 버전은 CVE-2026-33186 및 GHSA-p77j-4mvh-x3m3에 대응하며, Contour는 해당 취약점의 영향을 받지 않습니다.

• securityEnvoy 버전 업데이트

  Envoy가 v1.34.13으로 업데이트됩니다.

영향 확인 (2)

• securityenvoy 관리자 소켓 접근 권한 수정

  envoy를 실행하는 경우에 적용됩니다.

• security로컬 백엔드의 ingress policies 우회 수정

  ingress policies와 local backends를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityenvoy admin socket의 공개 접근 문제 수정

  Envoy가 실행 중인 경우 적용됩니다.

영향 확인 (2)

• breakingHelm 저장소의 OCI 전환

  Helm을 사용하는 경우에 적용됩니다.

• breaking공급업체 중립 API 그룹과 사용자 제어 마이그레이션 도입

  k8gb.absa.oss/v1beta1을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• breakingPod 보안 적용 기본값 변경

  Pod 보안 적용 기본값이 baseline으로 변경됩니다.

영향 확인 (1)

• breaking카탈로그 엔터티 페이지 레이아웃 헤더 비활성화

  새 프런트엔드 시스템에서 카탈로그 엔터티 페이지를 사용하는 경우에 적용됩니다.

조치 필요 (4)

• securitycriticalgoogle.golang.org/grpc 1.79.3 업데이트

  CVE-2026-33186을 해결하기 위해 google.golang.org/grpc를 1.79.3으로 업데이트했습니다.

• securityhigh여러 API의 권한 확인 우회 수정

  여러 API에서 발생하던 권한 확인 우회를 수정했습니다. 이 문제는 CVE-2026-33413 및 GHSA-q8m4-xhhv-38mg로 식별됩니다.

• securityhighgo.opentelemetry.io/otel/sdk v1.40.0 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 업데이트했습니다. 관련 보안 권고는 GO-2026-4394입니다.

• securityhighgolang.org/x/net v0.51.0 업데이트

  GO-2026-4559를 해결하기 위해 golang.org/x/net을 v0.51.0으로 업데이트했습니다.

조치 필요 (3)

• securitycriticalgoogle.golang.org/grpc 업데이트

  google.golang.org/grpc를 1.79.3으로 올려 CVE-2026-33186을 해결했습니다.

• securityhighgo.opentelemetry.io/otel/sdk 업데이트

  go.opentelemetry.io/otel/sdk를 v1.40.0으로 올려 GO-2026-4394를 해결했습니다.

• securityhighgolang.org/x/net 업데이트

  golang.org/x/net을 v0.51.0으로 올려 GO-2026-4559를 해결했습니다.

조치 필요 (2)

• security프로젝트 생성 전 발급된 bearer tokens 거부

  프로젝트 생성 전에 발급된 bearer tokens를 거부하도록 보안 결함을 수정했습니다.

• breakingwebhook event check의 9443 포트 제거

  webhook event check에서 Harbor IP의 9443 포트를 제거했습니다.

조치 필요 (3)

• securityhighGo 툴체인 1.25.8 업데이트

  저장소의 모든 모듈과 Docker 이미지에서 Go 툴체인을 1.24.13에서 1.25.8로 업데이트했습니다.

• securitymediumhtml/template URL 이스케이프 누락 수정

  html/template에서 meta content attribute의 action URL을 이스케이프하지 않던 문제를 수정했습니다. 조작된 URL을 통한 XSS 가능성이 줄어듭니다.

• securitylowos의 FileInfo 경계 이탈 수정

  os의 FileInfo가 Root 경계를 벗어날 수 있던 문제를 수정했습니다. 이로 인해 의도한 디렉터리 밖의 파일에 접근할 가능성이 있었습니다.

영향 확인 (8)

• securitymediumOIDC Dynamic Client Registration의 SSRF 수정

  OIDC Dynamic Client Registration을 사용하는 경우에 적용됩니다.

• securitymediumrealm 클라이언트 생성 및 삭제의 IDOR 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• securitymediummanage-clients permission을 통한 권한 상승 수정

  manage-clients permission을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 5건 더

조치 필요 (1)

• security에이전트 수준 선택자 기록 중단

  민감한 정보가 유출될 가능성을 막기 위해 에이전트 수준에서 선택자를 더 이상 기록하지 않습니다. (#6732)

영향 확인 (14)

• breaking새 앱의 기본 프런트엔드 시스템 변경

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingcreate-app 플래그 이름 변경

  create-app에서 --next 플래그를 사용하는 경우에 적용됩니다.

• breaking사용 중단 예정 타입과 옵션 제거

  사용 중단 예정 타입과 옵션을 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 11건 더

영향 확인 (1)

• breaking네이티브가 아닌 아키텍처의 기본 하이퍼바이저로 QEMU 사용

  네이티브가 아닌 아키텍처에서 QEMU가 실행되는 경우에 적용됩니다.

조치 필요 (1)

• securityhighCVE-2025-47913 대응을 위한 암호화 모듈 교체

  CVE-2025-47913에 대응하도록 golang/x/crypto 모듈을 openshift/golang-crypto 패치 모듈로 가리키는 replace 지시문을 추가했습니다.

조치 필요 (13)

• securitycriticalh11 잘못된 본문 처리 수정

  형식이 잘못된 본문을 허용하던 h11 문제인 CVE-2025-43859를 수정했습니다.

• securityhighstarlette 버전 고정

  starlette 버전을 0.49.1로 고정해 CVE-2025-62727을 수정했습니다.

• securityhighlightgbm 버전 업데이트

  lightgbm 버전을 4.6.0으로 업데이트해 CVE-2024-43598을 수정했습니다.

• securityhigh압축 해제 링크 수 제한 문제 수정

  압축 해제 과정에서 링크 수가 제한 없이 늘어나는 CVE-2025-66418 문제를 수정했습니다.

• securityhighexpr-lang/expr 업데이트

  expr-lang/expr를 v1.17.7로 업데이트해 CVE-2025-68156을 수정했습니다.

• securityhighcryptography subgroup attack 수정

  cryptography의 subgroup attack과 관련된 CVE-2026-26007을 수정했습니다.

• securityhighpython-multipart 임의 파일 쓰기 수정

  python-multipart의 임의 파일 쓰기 문제인 CVE-2026-24486을 수정했습니다.

• securitymedium여러 CVE 수정

  CVE-2025-22872, CVE-2025-47914, CVE-2025-58181을 수정했습니다.

• securityhttps.go 경로 탐색 방지

  https.go에서 경로 탐색이 발생하지 않도록 수정했습니다.

• security여러 CVE 관련 문제 수정

  여러 CVE 관련 문제를 수정했습니다.

• securityAIOHTTP 자동 압축 해제 문제 수정

  AIOHTTP의 HTTP 파서에서 auto_decompress 기능을 악용한 zip bomb 문제를 수정했습니다.

• securityextractTarFiles 경로 탐색 수정

  extractTarFiles에서 발생하는 경로 탐색 취약점을 수정했습니다.

• breakingminio를 seaweedfs로 교체

  minio를 seaweedfs로 교체했습니다.

조치 필요 (2)

• securityhighgo 도구 체인 버전 업데이트

  표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.

• breaking튜플 문자열 검증 조건 강화

  튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.

조치 필요 (8)

• securityhighGRPC Netty Shaded 업데이트

  GRPC Netty Shaded를 업데이트해 CVE-2025-55163을 해결했습니다.

• securitymediumZookeeper 업데이트

  Zookeeper를 업데이트해 CVE-2024-47554를 해결했습니다.

• securitymediumNimbus Jose JWT 10.0.2 업데이트

  Nimbus Jose JWT를 10.0.2로 업데이트해 CVE-2025-53864를 해결했습니다.

• securitymediumNetty 4.1.130.Final 업데이트

  Netty를 4.1.130.Final로 업데이트해 CVE-2025-67735를 해결했습니다.

• securitymediumApache Log4J 2.25.3 업데이트

  Apache Log4J를 2.25.3으로 업데이트해 CVE-2025-68161을 해결했습니다.

• securitymediumVertx 4.5.24 업데이트

  Vertx를 4.5.24로 업데이트해 CVE-2026-1002를 해결했습니다.

• securitymediumJackson 업데이트

  Jackson을 업데이트해 GHSA-72hv-8253-57qq를 해결했습니다.

• securityVert.x와 Netty 업데이트

  Vert.x와 Netty를 업데이트해 0.45.x 브랜치의 CVE를 수정했습니다.