릴리즈

Contour v1.33.5는 보안 패치 릴리스입니다. fallback 인증서와 JWT 검증을 함께 쓸 때 발생하던 JWT 검증 우회 취약점을 막습니다.

• securityJWT 검증 우회 취약점 패치 (GHSA-g3xr-5w5j-w4q4)

  fallback 인증서와 JWT 검증을 함께 쓰는 HTTPProxy 구성에서, SNI가 없거나 인식되지 않는 SNI로 오는 요청이 JWT 검증을 우회할 수 있었습니다. TLS SNI 없이 들어오는 트래픽을 처리하면서 JWT로 인가를 걸어둔 라우트가 있다면 우선 점검하고 v1.33.5로 업그레이드하세요.

• breakingfallback 인증서 + JWT 조합 구성 거부 확인

  이번 버전부터 fallback 인증서와 JWT 검증을 동시에 설정한 HTTPProxy는 유효하지 않은 구성으로 거부됩니다. 업그레이드 전에 관련 설정이 있는지 확인하고, 거부될 경우 라우트 구성을 재설계해야 합니다.

v1.33.4는 Cookie Rewriting 기능의 Lua 코드 인젝션 취약점(CVE-2026-41246)을 수정한 보안 패치입니다. Envoy 1.35.0 이상이 필수 요건이므로 즉시 업그레이드해야 합니다.

• securityCVE-2026-41246 즉시 패치 — 공유 Envoy 환경에서 임의 코드 실행 위험

  HTTPProxy 리소스를 생성하거나 수정할 수 있는 RBAC 권한이 있다면, pathRewrite 값을 조작해 Envoy 안에서 임의 Lua 코드를 실행할 수 있습니다. Envoy가 여러 테넌트 사이에서 공유되는 환경에서는 xDS 클라이언트 인증 정보 탈취나 서비스 거부 공격으로 이어질 수 있어 파급 범위가 넓습니다. Contour를 v1.33.4로 업그레이드하고, 배포 전에 Envoy 버전이 1.35.0 이상인지 반드시 확인하세요. 심층 방어 차원에서 HTTPProxy 쓰기 권한도 신뢰할 수 있는 주체로만 제한하도록 RBAC 정책을 점검하는 게 좋습니다.

• breakingEnvoy 1.35.0 필수 요건 — 업그레이드 전 버전 확인 필수

  새로운 filterContext 기반 Lua 방식 때문에 Envoy 1.35.0 미만 버전에서는 정상 동작하지 않습니다. Envoy 이미지를 직접 관리하거나 버전을 고정해 사용한다면 Contour 업그레이드 전에 Envoy를 먼저 올려야 합니다. 공식 매니페스트를 그대로 사용한다면 번들 Envoy가 이미 v1.35.10이라 별도 조치는 불필요하지만, 커스텀 환경이나 에어갭 환경은 별도로 확인해야 합니다.

• enhancement업그레이드 여부와 관계없이 HTTPProxy RBAC 점검 권장

  취약점 패치 후에도 근본적인 공격 경로는 HTTPProxy 리소스에 대한 넓은 쓰기 권한입니다. HTTPProxy 생성/수정 권한은 애플리케이션 개발자가 아닌 플랫폼 운영자 수준으로 좁히는 방향이 바람직합니다. 멀티 테넌트 환경일수록 이런 권한 분리가 장기적으로 더 효과적인 통제 수단이 됩니다.

v1.32.5는 Cookie Rewriting 기능의 Lua 코드 인젝션 취약점(CVE-2026-41246)을 수정한 보안 패치입니다. 멀티테넌트 환경이라면 즉시 업그레이드해야 합니다.

• security멀티테넌트 클러스터라면 CVE-2026-41246 즉시 패치

  신뢰할 수 없는 사용자나 팀이 HTTPProxy 리소스를 생성·수정할 RBAC 권한을 갖고 있다면 직접적인 위협에 노출된 상태입니다. 공격자는 pathRewrite.value에 Lua 문자열 컨텍스트를 탈출하는 값을 심어 Envoy 내에서 코드를 실행할 수 있습니다. Envoy는 공유 인프라이므로 xDS 클라이언트 인증서 탈취나 동일 인스턴스를 사용하는 다른 테넌트 서비스 장애로 이어질 수 있습니다. 지금 바로 v1.32.5로 업그레이드하고, 업그레이드 전까지는 HTTPProxy의 create/update 권한을 최소한으로 줄이세요.

• breaking업그레이드 후 기존 cookieRewritePolicies 동작 검증 필요

  이번 수정으로 pathRewrite.value 입력값에 이스케이프 처리가 추가됩니다. 백슬래시나 따옴표 같은 특수문자가 포함된 값은 Lua 삽입 전 이스케이프되어 런타임 동작이 달라질 수 있습니다. cookieRewritePolicies[].pathRewrite.value를 사용하는 HTTPProxy 리소스가 있다면 스테이징 환경에서 쿠키 재작성 동작을 반드시 확인하세요.

• enhancementEnvoy v1.34.14 번들 포함 — 별도 조치 불필요

  Envoy 업데이트는 Contour 이미지에 이미 포함되어 있습니다. 단, Envoy를 Contour와 별도로 관리하는 구성이라면 해당 Envoy 이미지도 v1.34.14로 맞춰 Contour의 테스트 환경과 일치시키세요.

Contour v1.31.6은 Cookie Rewriting 기능의 Lua 코드 인젝션 취약점(CVE-2026-41246)을 패치합니다. 공유 Envoy 인프라에서 임의 코드 실행으로 이어질 수 있는 심각한 결함입니다.

• security비신뢰 사용자에게 HTTPProxy 쓰기 권한이 있다면 즉시 패치해야 합니다

  CVE-2026-41246은 멀티테넌트 클러스터에서 특히 위험합니다. HTTPProxy 리소스에 쓰기 권한을 가진 사용자라면 Envoy에 임의 Lua 코드를 주입할 수 있고, Envoy가 공유 인프라인 만큼 피해 범위가 다른 테넌트와 xDS 자격증명까지 미칩니다. v1.31.6으로 즉시 업그레이드하세요. 즉시 업그레이드가 어렵다면, 기존 HTTPProxy 오브젝트의 pathRewrite 값을 점검하고 HTTPProxy 쓰기 권한을 신뢰할 수 있는 주체로만 제한하세요.

• enhancementHTTPProxy 쓰기 RBAC 권한을 전면 재검토하세요

  이번 취약점 유형은 사용자 입력값이 코드에 직접 삽입되는 구조적 위험에서 비롯됩니다. 패치 적용과 별개로, HTTPProxy·HTTPRoute 등 프록시 설정을 제어하는 커스텀 리소스 전반에 최소 권한 RBAC을 적용할 타이밍입니다. 네임스페이스 범위 RBAC과 pathRewrite 값을 검증하는 어드미션 웹훅을 패치에 더해 함께 적용하면 방어 심도를 높일 수 있습니다.

Contour v1.33.3은 Envoy를 v1.35.9로, grpc-go를 v1.79.3으로 올린 보안 패치 릴리스이며, 예제 매니페스트 정리가 포함됩니다.

• securityEnvoy 보안 수정을 위해 즉시 업그레이드 검토

  이번 릴리스의 핵심은 Envoy v1.35.9 업그레이드입니다. 데이터 플레인의 실질적인 보안 취약점을 수정하므로, 외부 트래픽에 노출된 클러스터라면 빠르게 롤아웃 계획을 잡으세요. grpc-go의 CVE-2026-33186은 Contour에는 영향이 없지만, Envoy 수정만으로도 업그레이드 이유는 충분합니다.

• breaking커스텀 매니페스트에서 hostPort: 8002 의존성 확인

  예제 매니페스트를 복사하거나 확장해서 사용 중이고, 노드에서 직접 Envoy 메트릭을 수집하는 데 hostPort: 8002를 사용하고 있다면 주의가 필요합니다. 업스트림 예제에서 해당 설정이 삭제됐으므로, 업그레이드 전에 매니페스트와 모니터링 파이프라인에 이 설정이 남아 있는지 먼저 확인하세요.

Contour v1.32.4는 보안 패치 릴리스로, Envoy를 v1.34.13으로, grpc-go를 CVE-2026-33186 대응 버전으로 업그레이드하고 예시 매니페스트를 소폭 정리했습니다.

• securityEnvoy 보안 수정을 위해 즉시 업그레이드하세요

  이번 릴리스의 핵심은 Envoy v1.34.13 업데이트입니다. 이 버전 범위의 Envoy 릴리스에는 보안 수정이 포함되어 있으므로, Envoy v1.34.13 체인지로그를 직접 확인해 실제 트래픽 패턴에 영향을 주는 CVE가 있는지 파악하세요. grpc-go CVE-2026-33186은 Contour에 직접 영향을 주지 않지만, 의존성 그래프 정리 차원에서라도 업그레이드를 서두르는 게 낫습니다.

• breakinghostPort 8002를 참조하는 커스텀 매니페스트를 확인하세요

  예시 매니페스트에서 Envoy 메트릭 컨테이너의 hostPort 8002가 제거됐습니다. 업스트림 매니페스트를 기반으로 배포 파이프라인을 구성했다면 diff에서 이 변경이 나타납니다. 더 중요한 건, Prometheus 스크레이프 설정이나 방화벽 규칙에서 해당 호스트 포트를 직접 참조하고 있다면, 업그레이드 전에 ClusterIP 서비스나 파드 IP 등 대체 경로로 메트릭 엔드포인트에 접근 가능한지 먼저 확인해야 합니다.

Contour v1.31.5는 보안·안정성 패치 릴리스입니다. Envoy v1.34.13 업그레이드, CVE-2026-33186 대응 grpc-go 업데이트, 예시 매니페스트 소폭 정리가 포함됩니다.

• securityEnvoy 보안 픽스 포함 — 업그레이드를 미루지 마세요

  Envoy v1.34.13에는 보안 취약점 수정이 포함되어 있습니다. 릴리스 노트에 개별 CVE가 명시되지 않았지만, .13 포인트 릴리스 수준의 Envoy 패치는 가볍게 볼 수 없습니다. 커스텀 Envoy 설정이 많다면 스테이징에서 먼저 검증 후 운영에 반영하되, 업그레이드 자체는 빠르게 진행하세요.

• securityCVE-2026-33186: 패치 완료, Contour는 직접 영향 없음

  grpc-go v1.79.3 업데이트로 CVE-2026-33186이 패치됐지만, Contour 코드는 취약한 경로를 사용하지 않습니다. 다만 Contour 바이너리에 해당 의존성이 번들되므로 업그레이드하면 자연스럽게 포함됩니다. 긴급 배포까지는 불필요하고, 다음 정기 유지보수 시 적용하면 됩니다.

• breakingEnvoy 메트릭 hostPort 8002 제거 — 커스텀 매니페스트 확인 필요

  예시 매니페스트에서 Envoy 메트릭 hostPort: 8002가 삭제됐습니다. Contour 공식 예시를 기반으로 매니페스트를 구성하고 호스트 레벨 메트릭 스크래핑을 이 포트에 의존하고 있다면, 스크래핑 설정과 매니페스트를 함께 수정해야 합니다. Helm 또는 Operator로 배포한 경우라면 대부분 영향이 없지만, 명시적으로 템플릿에 추가한 케이스는 점검하세요.

Contour v1.33.2는 HTTPProxy 상태 업데이트 버그를 수정하고, Go를 v1.25.7로 업그레이드하며, shutdown-manager 컨테이너의 CPU 할당을 개선한 유지보수 릴리스입니다.

• securityGo 보안 패치를 위한 업그레이드

  Go v1.25.7은 보안 수정 사항과 성능 개선을 포함합니다. 특히 이전 Contour 버전으로 프로덕션 워크로드를 실행 중이라면 이러한 업데이트의 혜택을 받기 위해 업그레이드를 계획하세요.

• breakingHTTPProxy 상태 업데이트 문제 해결

  HTTPProxy 리소스에서 로드 밸런서 상태 업데이트 실패를 겪고 있다면, 이번 릴리스에서 CRD 스키마 문제를 해결했습니다. 모니터링이나 자동화를 위해 상태 필드에 의존한다면 즉시 업그레이드하세요.

• enhancementGateway Provisioner 성능 개선

  shutdown-manager의 CPU 제한 증가로 스로틀링 문제가 방지됩니다. Contour Gateway Provisioner를 사용하면서 느린 종료 작업을 경험한다면, 이번 업그레이드가 성능을 개선할 것입니다.

Contour v1.32.3는 Go 런타임을 v1.24.13으로 업데이트하고 로드 밸런서 상태 업데이트를 방해하는 중요한 CRD 스키마 버그를 수정한 유지보수 릴리스입니다.

• securityGo 보안 수정을 위한 업데이트

  Go v1.24.13에는 보안 패치가 포함되어 있습니다. 런타임 보안 개선 사항과 버그 수정의 혜택을 받기 위해 다음 유지보수 기간 동안 v1.32.3로 업그레이드를 계획하세요.

• breaking로드 밸런서 상태 문제 해결

  HTTPProxy 리소스에서 로드 밸런서 상태 업데이트 실패를 경험하고 있다면 즉시 업그레이드하세요. CRD 스키마 수정으로 트래픽 라우팅 가시성과 모니터링에 영향을 줄 수 있는 상태 보고 문제가 해결됩니다.

Contour v1.31.4는 중요한 로드 밸런서 상태 업데이트 버그를 수정하고 Go를 v1.24.13으로 업데이트하여 보안과 안정성을 개선한 패치 릴리스입니다.

• securityGo 보안 패치를 위한 업그레이드 필요

  Go v1.24.13에는 런타임 보안을 개선하는 보안 수정사항이 포함되어 있습니다. 다음 유지보수 기간에 Contour를 v1.31.4로 업그레이드하여 이러한 보안 개선사항의 혜택을 받으시기 바랍니다.

• enhancement로드 밸런서 상태 보고 문제 해결

  HTTPProxy 리소스로 로드 밸런서 상태 업데이트 실패를 경험했다면, 이번 릴리스에서 CRD 스키마 문제가 해결되었습니다. 특히 로드 밸런서 상태에 의존하는 자동화 및 모니터링 시스템에 중요하므로 올바른 상태 보고 기능을 복원하기 위해 업그레이드하시기 바랍니다.