릴리스

영향 확인 (1)

• securityendpoint의 CIDR 정책 우회와 재시작 후 트래픽 드롭 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  에이전트 재시작 후 조용히 발생하던 CIDR 정책 우회와 트래픽 드롭을 수정했습니다.

조치 필요 (1)

• securitygoogle.golang.org/grpc 의존성 업데이트

  google.golang.org/grpc 의존성을 v1.82.1로 업데이트했습니다. 보안 수정으로 표시된 변경입니다.

조치 필요 (11)

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.79.3으로 업데이트되었습니다.

• securitygoogle.golang.org/grpc 업데이트

  google.golang.org/grpc 모듈이 보안 관련 수정과 함께 v1.82.1으로 업데이트되었습니다.

• securityhelm.sh/helm/v4 업데이트

  helm.sh/helm/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/cloudflare/circl 업데이트

  github.com/cloudflare/circl 모듈이 보안 관련 수정과 함께 v1.6.3으로 업데이트되었습니다.

• securitygithub.com/go-jose/go-jose/v4 업데이트

  github.com/go-jose/go-jose/v4 모듈이 보안 관련 수정과 함께 v4.1.4로 업데이트되었습니다.

• securitygithub.com/moby/spdystream 업데이트

  github.com/moby/spdystream 모듈이 보안 관련 수정과 함께 v0.5.1으로 업데이트되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 올라갔습니다.

• breakingIPAM 메트릭 제거

  IPAM 메트릭 cilium_operator_ipam_ips와 cilium_operator_ipam_available_interfaces가 제거되었습니다.

• breaking기본 CNI 설정 버전 변경

  기본 CNI 설정 버전이 0.3.1에서 1.0.0으로 변경되었습니다.

• breaking네이티브 히스토그램 기본 활성화

  모든 히스토그램이 기본적으로 네이티브 히스토그램을 내보냅니다.

• breaking에이전트 부트스트랩 메트릭 제거

  에이전트 부트스트랩 메트릭이 제거되었습니다.

영향 확인 (1)

• breakingHelm의 hostFirewall.enabled 비활성화 반영 수정

  hostFirewall.enabled를 Helm으로 true에서 false로 변경해 비활성화할 때 적용됩니다.

  Helm에서 hostFirewall.enabled를 true에서 false로 바꿀 때 라이브 ConfigMap에 호스트 방화벽이 계속 활성화된 상태로 남던 버그를 수정했습니다.

영향 확인 (3)

• security선택자가 없는 ipBlock 규칙의 네임스페이스 우회 수정

  ipBlock을 설정한 경우에 해당합니다.

  선택자가 없는 ipBlock 규칙에서 와일드카드 네임스페이스 우회가 발생하던 문제를 수정했습니다.

• breakingloadBalancer.standalone Helm 옵션 제거

  loadBalancer.standalone을 설정한 경우에 해당합니다.

  loadBalancer.standalone Helm 옵션이 제거되었습니다.

• breakingl2podAnnouncements.interface Helm 값 제거

  l2podAnnouncements.interface를 설정하고 L2 파드 알림을 활성화한 경우에 해당합니다.

  더 이상 인식되지 않는 설정 키를 생성하던 l2podAnnouncements.interface Helm 값이 제거되었습니다. L2 파드 알림을 활성화하면 이 값 때문에 크래시 루프가 발생할 수 있었으며, 이제 l2podAnnouncements.interfacePattern을 사용합니다.

조치 필요 (2)

• securitygithub.com/moby/spdystream 모듈 업데이트

  보안 관련 갱신으로 github.com/moby/spdystream 모듈을 v0.5.1로 업데이트했습니다.

• breaking서비스 라벨에 따른 EndpointSlice 감시 필터링

  loadbalancer/reflectors에서 EndpointSlice 감시 대상이 서비스 라벨에 따라 필터링됩니다.

조치 필요 (1)

• securitygithub.com/moby/spdystream 의존성 업데이트

  github.com/moby/spdystream 의존성을 v0.5.1로 업데이트했습니다.

조치 필요 (1)

• securitygithub.com/moby/spdystream 모듈 v0.5.1 업데이트

  github.com/moby/spdystream 모듈을 v0.5.1로 업데이트했습니다. 변경 기록에는 이 갱신이 보안 업데이트로 표시되어 있습니다.

조치 필요 (1)

• securitygithub.com/go-jose/go-jose/v4 의존성 v4.1.4 갱신

  github.com/go-jose/go-jose/v4 모듈을 v4.1.4로 갱신했습니다. 보안 관련 업데이트가 반영됐습니다.

조치 필요 (2)

• security정규식 $ 문자 이스케이프 처리

  정규식에서 $ 문자를 이스케이프해 주입을 막도록 수정했습니다.

• securitygithub.com/go-jose/go-jose/v4 모듈 업데이트

  보안 업데이트로 github.com/go-jose/go-jose/v4 모듈을 v4.1.4로 올렸습니다.

영향 확인 (2)

• securityenvoy 관리자 소켓 접근 권한 수정

  envoy를 실행하는 경우에 적용됩니다.

  envoy의 관리자 소켓이 모든 사용자에게 접근 가능한 상태로 생성되던 문제를 수정했습니다.

• security로컬 백엔드의 ingress policies 우회 수정

  ingress policies와 local backends를 사용하는 경우에 적용됩니다.

  local backends에 적용된 ingress policies를 우회할 수 있던 문제를 수정했습니다.

영향 확인 (1)

• securityenvoy admin socket의 공개 접근 문제 수정

  Envoy가 실행 중인 경우 적용됩니다.

  모든 사용자가 접근할 수 있는 상태로 생성되던 envoy admin socket 문제를 수정했습니다.

조치 필요 (1)

• breakingtopology.kubernetes.io 레이블의 기본 제외 설정

  기본값으로 topology.kubernetes.io 레이블을 보안 레이블에서 제외합니다.

조치 필요 (15)

• securitygithub.com/containerd/containerd 보안 업데이트

  github.com/containerd/containerd 모듈이 v1.7.29로 업데이트됩니다.

• securitygithub.com/go-viper/mapstructure/v2 보안 업데이트

  github.com/go-viper/mapstructure/v2 모듈이 v2.4.0으로 업데이트됩니다.

• securitygithub.com/docker/docker 보안 업데이트

  github.com/docker/docker 모듈이 v28.3.3+incompatible로 업데이트됩니다.

• securitygolang.org/x/crypto 보안 업데이트

  golang.org/x/crypto 모듈이 v0.45.0으로 업데이트됩니다.

• securityhelm.sh/helm/v3 보안 업데이트

  helm.sh/helm/v3 모듈이 v3.18.4로 업데이트됩니다.

• securityhelm.sh/helm/v3 보안 업데이트

  helm.sh/helm/v3 모듈이 v3.18.5로 업데이트됩니다.

• breakingplpmtud 기본값 변경

  plpmtud의 기본값이 blackhole로 변경됩니다.

• breakingAddressScopeMax 기본값 변경

  AddressScopeMax 기본값이 호스트 범위인 254로 변경됩니다. --local-max-addr-scope와 관련된 설정이 새 GKE 메타데이터 서버 및 HCP 사용 사례에 맞게 조정됩니다.

• breakingtls authMode 기본값 변경

  tls authMode 기본값이 migration으로 설정됩니다.

• breakingCNI 삭제 제한 시간 단축

  CNI 삭제 제한 시간이 1.5초로 줄어듭니다.

• breakingpolicy-default-local-cluster 기본 설정

  policy-default-local-cluster가 기본적으로 설정됩니다.

• breaking호스트 방화벽 우회 기본 비활성화

  호스트 방화벽 우회가 기본적으로 비활성화됩니다.

• breakingFQDN 일치 패턴 정제 검사 강화

  FQDN 일치 패턴의 정제 처리가 재구성되고 검사가 강화됩니다.

• breakingcilium_host를 통한 암호화 트래픽 전달 제거

  cilium_host를 통한 암호화 트래픽 전달이 제거됩니다.

• breaking컨테이너 이미지의 CNI 설정 파일 설치 제거

  컨테이너 이미지에 CNI 설정 파일을 설치하지 않습니다.

조치 필요 (1)

• breakingCilium Preflight 검사에서 Envoy Configmaps 제외

  Cilium Preflight 검사에서 Envoy Configmaps를 더 이상 확인하지 않아 검사를 올바르게 실행하기 쉬워졌습니다.