CNCF graduated·incubating 프로젝트 릴리스 노트의 AI 분석.
이번 릴리스는 공개된 의존성 보안 문제를 다루고 PromQL의 SIGBUS 충돌을 수정합니다. 의존성 버전 갱신에 따라 관련 전이 의존성도 함께 올라갑니다.
조치 필요 (2)
securityhighgolang. 버전 업데이트
golang.가 v0.에서 v0.으로 올라갔습니다. CVE-2026-56852와 관련된 의존성 버전 변경입니다.
securityhighgoogle. 버전 업데이트
google.가 v1.에서 v1.으로 올라갔습니다. GHSA-hrxh-6v49-42gf와 관련된 의존성 버전 변경입니다.
이번 릴리스에는 UI 의존성의 보안 수정이 반영되었습니다. sanitize-html 버전이 v2.17.5로 변경되었습니다.
조치 필요 (1)
securitymediumsanitize-html 보안 수정 버전 반영
UI에서 사용하는 sanitize-html을 v2.17.5로 올려 CVE-2026-53606을 수정했습니다.
보안 취약점 수정과 추가 보안 관련 보정이 포함됐으며, 호환성에 영향을 주는 옵션 제거와 출력 형식 변경도 반영됐습니다. 여러 결함 수정과 새로운 설정 기능이 함께 추가되어 운영 중인 구성과 연동 방식에 확인이 필요합니다.
조치 필요 (1)
securitycriticalCVE-2026-33186 권한 우회 취약점 수정
thanos-community/grpc-go 포크를 갱신해 잘못된 :path 헤더를 이용한 권한 우회 취약점 CVE-2026-33186을 수정했습니다.
영향 확인 (4)
security분할 테넌트 라벨의 테넌트 ID 검증
Receive를 실행하는 경우 적용됩니다.
breakingtime_taken 필드를 time_taken_ms로 변경
Query-Frontend를 실행하는 경우 적용됩니다.
breaking--shipper. 옵션 제거
--shipper.를 설정한 경우 적용됩니다.
보안 의존성 업데이트와 리디렉션 시 인증 정보 처리 변경이 포함되며, PromQL 함수 이름과 라이선스 아티팩트 제공 방식도 바뀝니다. 새 API와 설정 제어, 성능 개선, 버그 수정도 함께 포함된 릴리스입니다.
조치 필요 (2)
securitycriticalUI sanitize-html 업데이트로 사이트 간 스크립팅 취약점 수정
UI에서 sanitize-html을 업데이트해 사이트 간 스크립팅 취약점 CVE-2026-44990을 수정했습니다.
breaking서드파티 라이선스 제공 방식 변경
서드파티 npm 의존성 라이선스를 Prometheus 바이너리에 포함하고 /assets/third-party-licenses.에서 제공하도록 바꿨습니다. 릴리스 tarball과 컨테이너 이미지에 함께 배포하던 npm_licenses. 아카이브는 더 이상 사용하지 않습니다.
영향 확인 (2)
securitymedium호스트 간 리디렉션에서 인증 정보 전달 제한
스크레이핑, 원격 읽기나 쓰기, 알림, 서비스 디스커버리를 사용하는 경우에 적용됩니다.
breakingPromQL duration 표현식 함수 이름 변경
experimental-duration-expr을 활성화하고 min()과 max()를 사용하는 경우에 적용됩니다.
이번 릴리스는 보안 문제를 수정하고 관련 의존성을 갱신한 릴리스입니다. 컨테이너 이미지를 GitHub Container Registry(ghcr.)에도 게시하도록 배포 범위를 넓혔습니다.
조치 필요 (2)
securitycriticalgolang. 및 OpenTelemetry 의존성 갱신
golang.을 v0.55.0으로, OpenTelemetry를 v1.43.0으로 올려 보고된 보안 권고에 대응했습니다. 관련 식별자는 GO-2026-5026, GO-2026-4918, GO-2026-4985입니다.
securityUI 의존성을 수정된 버전으로 갱신
UI 의존성인 react-router-dom, vitest, vite, postcss를 보안 권고가 해결된 버전으로 갱신했습니다.
영향 확인 (1)
security/-/config의 비밀 정보 평문 노출 수정
/-/config 엔드포인트에 접근하는 경우 적용됩니다.
컨테이너 이미지의 공개되지 않은 CVE 수정과 NetworkChaos 복구 오류 수정이 포함된 릴리스입니다. 그 밖의 항목에는 운영자 대상 변경이 없습니다.
조치 필요 (2)
securityGo 도구 모음과 containerd 버전 업데이트
Go 도구 모음을 1.25.11로, containerd를 1.7.32로 업그레이드했습니다.
securitymemStress 빌드 및 chaos-daemon 이미지 변경
memStress 도우미를 최신 Go 도구 모음 v0.3.1로 다시 빌드하고, chaos-daemon 이미지를 헤드리스 JRE 기반으로 변경했습니다.
이번 릴리스에는 상태 페이지의 저장형 XSS와 입력 데이터 처리 과정의 메모리 증폭 위험을 줄이는 수정이 포함됩니다. OTLP 수집과 네이티브 히스토그램을 사용하는 환경에서는 새 크기 제한이 적용됩니다.
영향 확인 (3)
securityAlertmanager 및 Store Gateway 상태 페이지의 저장형 XSS 수정
Alertmanager 또는 Store Gateway를 실행하는 경우에 적용됩니다.
security네이티브 히스토그램 protobuf 크기 제한
네이티브 히스토그램을 사용하는 경우에 적용됩니다.
breakingParseProtoReader 및 OTLP 수집 경로의 압축 해제 크기 제한
OTLP 수집 경로를 사용하는 경우에 적용됩니다.
의존성 업데이트와 정확성 수정이 포함되었고, 클라우드 및 쿼리 기능과 구성 및 출력 변경도 추가되었습니다. GHSA-xmrv-pmrh-hhx2와 CVE-2026-34986에 대응하는 보안 관련 의존성 업데이트가 포함되어 있습니다.
조치 필요 (1)
securityhigh취약한 Go 의존성 업데이트
취약점이 있는 Go 의존성을 GHSA-xmrv-pmrh-hhx2 및 CVE-2026-34986과 관련된 버전으로 업데이트했습니다.
영향 확인 (1)
breakingMCP 서버 기본 비활성화
MCP_SERVER_ENABLED를 설정하지 않은 경우 적용됩니다.
운영자용 API, 서비스 검색 연동, 기능 플래그, 설정 옵션, 웹 인터페이스가 추가됐습니다. 공개된 보안 수정 두 건과 정확성 수정, 성능 개선이 포함됐으며 검증과 제약 조건도 강화됐습니다.
조치 필요 (1)
breaking동시 fgprof 프로파일 실행 제한
동시에 실행되는 fgprof 프로파일을 API에서 거부합니다.
영향 확인 (3)
securityRemote Write 요청의 압축 해제 길이 제한
Remote Write를 사용하는 경우 적용됩니다.
securitySTACKIT SD 설정 엔드포인트의 평문 비밀 정보 노출 수정
STACKIT SD를 사용하는 경우 적용됩니다.
breakinggzip 인코딩 OTLP 쓰기 요청의 본문 크기 제한
OTLP를 사용하는 경우 적용됩니다.
의존성 업데이트와 운영자가 확인하는 설정 및 동작 변경이 포함되어 있으며, 새 연동과 기능 추가, 정확성 수정도 함께 반영되었습니다. 보안과 관련해 명시된 의존성 업그레이드가 한 건 포함되어 있고, 일부 항목은 앞선 기록과 중복됩니다.
조치 필요 (1)
securityhigh취약한 Go 의존성 업그레이드
취약점이 있는 Go 의존성을 업그레이드했으며, 관련 식별자는 GHSA-xmrv-pmrh-hhx2와 CVE-2026-34986입니다.
영향 확인 (2)
breakingprovider config 대신 cloud-integration.에서 설정을 읽도록 변경
provider config를 설정한 경우 적용됩니다.
breakingMCP_SERVER_ENABLED 기본값을 false로 변경
MCP 서버를 사용하는 경우 적용됩니다.
보안 권고 식별자가 붙은 결함 수정이 포함되어 있습니다. 관련 기능을 사용하는 환경에서는 업그레이드가 조치 대상입니다.
영향 확인 (3)
securityhighAzureAD remote write의 OAuth 비밀값 노출 수정
AzureAD remote write를 사용하는 경우에 적용됩니다.
securityhighRemote-read의 과도한 디코드 길이 요청 처리 수정
Remote-read를 사용하는 경우에 적용됩니다.
securitymedium기존 UI heatmap chart의 저장형 XSS 수정
old UI heatmap chart를 사용하는 경우에 적용됩니다.
운영자용 보안 수정이 포함되어 평문으로 노출되던 비밀 값과 저장형 XSS 문제를 바로잡았습니다. 원격 읽기와 쓰기 요청은 디코드 후 길이가 제한을 넘는 압축 요청을 거부하도록 검증이 강화되었습니다.
영향 확인 (4)
securityhighOAuth client_secret 평문 노출 수정
AzureAD remote write를 사용하는 경우 적용됩니다.
securityhighRemote-read 압축 요청 길이 검증 강화
Remote-read를 사용하는 경우 적용됩니다.
securitymediumUI 히트맵 차트의 저장형 XSS 수정
UI를 사용하는 경우 적용됩니다.
이번 릴리스에는 결함 수정이 포함되어 있으며, 설정 정보가 남아 유출되는 문제와 Python 취약점에 대응합니다. 프런트엔드 기반 이미지도 ubi9로 업데이트했습니다.
조치 필요 (2)
security동일 유형 probe 간 오래된 설정 유출 방지
같은 유형의 여러 probe에서 오래된 설정이 유출되던 문제를 수정했습니다.
securityPython 취약점 해결을 위한 기반 이미지 업데이트
프런트엔드의 기반 이미지를 ubi9로 업데이트해 Python 취약점을 해결했습니다.
Prometheus v3.11.2에는 웹 UI에서 이스케이프되지 않은 메트릭 이름과 라벨로 발생하던 저장형 XSS 수정이 포함됩니다. Prometheus 웹 UI 사용 여부에 따라 관련성이 달라집니다.
영향 확인 (1)
securitymedium웹 UI의 저장형 XSS 수정
Prometheus 웹 UI를 사용하는 경우에 적용됩니다.
Prometheus v3.5.2에는 웹 UI에서 조작된 메트릭 이름과 레이블 값으로 발생할 수 있는 저장형 XSS 수정이 포함됩니다. 해당 값이 UI에 표시되는 환경이라면 이 릴리스의 변경 사항과 관련이 있습니다.
영향 확인 (1)
securitymediumPrometheus web UI의 저장형 XSS 수정
조작된 메트릭 이름이나 레이블 값이 Prometheus web UI에 전달될 수 있는 경우에 적용됩니다.
설치 스크립트 install.의 사용 중단과 제거가 포함됩니다. Go 도구 체인과 JSON-RPC 의존성이 바뀌고 대시보드와 웹훅 문제가 수정되며, Go 및 UI 패키지에는 공개되지 않은 취약점 수정도 포함됩니다.
조치 필요 (2)
securityGo 패키지 취약점 수정
취약점 수정을 위해 Go 패키지를 업데이트합니다.
securityUI 패키지 취약점 수정
취약점 수정을 위해 UI 패키지를 업데이트합니다.
영향 확인 (1)
breakinginstall. 제거
install.를 사용하는 경우에 적용됩니다.
미리 준비 (1)
deprecatedinstall. 사용 중단 예고
install.를 사용하는 경우에 적용됩니다.
