릴리즈

v1.120.3은 Go 의존성 CVE 2건을 패치하고 AWS·Azure·Oracle·DigitalOcean 프로바이더 전반의 버그를 수정합니다. OVH 프로바이더 추가와 cosign 이미지 서명도 포함됐습니다.

• security취약한 Go 의존성 패치 — 즉시 업그레이드 필요

  이번 릴리스에서 Go 의존성 취약점 GHSA-xmrv-pmrh-hhx2와 CVE-2026-34986를 패치했습니다. v1.120.3 이전 버전을 운영 중이라면 즉시 업그레이드하세요. 코드 변경이 아닌 의존성 수준의 취약점입니다.

• breakingMCP 서버가 기본 비활성화로 변경 — 배포 설정 확인 필요

  MCP 서버의 기본값이 활성화에서 비활성화(MCP_SERVER_ENABLED=false)로 바뀌었습니다. 기본 활성화 상태를 전제로 운영 중이었다면 업그레이드 전에 배포 매니페스트에서 해당 환경 변수를 명시적으로 설정해야 합니다.

• enhancementcosign 이미지 서명 검증을 어드미션 파이프라인에 추가

  컨테이너 이미지에 cosign keyless 서명과 SLSA provenance 어테스테이션이 추가됐습니다. Kyverno나 cosign verify 같은 정책 도구를 사용 중이라면 OpenCost 이미지에 대한 서명 검증 정책을 CI 또는 배포 시점에 적용할 수 있습니다.

Prometheus 3.12.0은 Remote Write DoS와 STACKIT SD 시크릿 노출 두 가지 보안 패치를 포함하며, Agent 모드 WAL 레이스 버그를 수정하고 TSDB 범위 쿼리의 헤드 청크 조회를 O(1)로 개선합니다.

• securitySTACKIT SD 사용 환경은 자격증명 교체 후 즉시 업그레이드

  이번 릴리스에서 두 가지 보안 취약점이 패치되었습니다. 첫째, Remote Write 수신 시 snappy 압축 페이로드의 선언된 압축 해제 크기가 32 MB를 초과하면 요청을 거부하도록 변경되었습니다 — DoS 공격 벡터를 막는 조치입니다. 둘째, STACKIT SD가 `/-/config` 엔드포인트를 통해 시크릿을 평문으로 노출하는 버그(GHSA-39j6-789q-qxvh)가 수정되었습니다. STACKIT SD를 사용 중이라면 업그레이드 전에 노출됐을 수 있는 자격증명을 즉시 교체하세요.

• breakingAgent 모드 WAL 레이스 패치 — Agent 배포 환경은 업그레이드 필수

  Agent 모드에서 동일한 레이블 셋을 대상으로 동시에 Append가 발생할 때 인메모리 시리즈와 WAL 레코드가 중복 생성되는 레이스 컨디션이 수정되었습니다. 쓰기 부하가 높은 Agent 배포 환경에서는 WAL이 조용히 손상될 수 있었던 버그입니다. 또한 `remote_write` queue_config 필드 유효성 검사가 이제 시작 시점에 수행됩니다 — 기존에는 런타임 패닉으로 이어지던 잘못된 설정이 이제 startup 실패로 나타납니다. 배포 전 반드시 설정 파일을 검증하세요.

• enhancementTSDB 범위 쿼리 CPU 개선 및 auto-reload-config 안정화

  TSDB 헤드 청크의 범위 쿼리 조회가 O(n²)에서 O(1)로 개선되었고, mmap 처리 시 불필요한 시리즈를 건너뛰도록 최적화되었습니다. 헤드 청크가 많은 운영 환경에서 CPU 사용량이 눈에 띄게 줄어들 수 있습니다. 설정 변경 없이 업그레이드만으로 적용됩니다. 아울러 `auto-reload-config`가 stable로 승격되었으므로, 런북에서 해당 기능에 붙어 있던 '실험적' 주석을 제거해도 됩니다.

v0.153.0은 피처 게이트 7개를 안정화(브레이킹)하고, gRPC Snappy 압축의 심각한 메모리 손상 버그를 수정하며, mdatagen에 여러 개선 사항을 추가했습니다.

• securitygRPC + Snappy 사용 중이라면 즉시 업그레이드

  configgrpc의 Snappy 버그는 단순 성능 문제가 아니라 프로세스를 강제 종료시키는 메모리 손상 수준의 결함입니다. exporter나 receiver 설정에 compression: snappy가 있다면 이번 릴리스를 최우선으로 적용하세요.

• breaking업그레이드 전 피처 게이트 오버라이드 설정 전수 점검 필요

  안정화된 7개 게이트는 이제 영구 동작으로 고정되어 토글이 불가합니다. collector 설정이나 시작 플래그에 configoptional.AddEnabledField, confmap.newExpandedValueSanitizer, exporter.PersistRequestContext, otelcol.printInitialConfig, pdata.useCustomProtoEncoding, telemetry.UseLocalHostAsDefaultMetricsAddress, pdata.enableRefCounting 중 하나라도 남아 있으면 collector 기동에 실패합니다. 특히 UseLocalHostAsDefaultMetricsAddress 변경이 팀에 가장 많은 영향을 줄 수 있는데, 메트릭 엔드포인트가 기본적으로 localhost에만 바인딩되므로 외부에서 스크래핑하는 구성을 재검토해야 합니다.

• breakingmdatagen 리어그리게이션 설정 생성이 기본 활성화로 변경

  커스텀 collector 컴포넌트를 mdatagen으로 관리 중이라면 리어그리게이션 설정 필드가 이제 기본으로 생성됩니다. 기존 동작(enabled 필드만 포함)을 유지하려면 metadata.yaml에 reaggregation_enabled: false를 명시해야 합니다. 업그레이드 후 mdatagen을 실행하고 생성된 결과물을 커밋 전에 반드시 검토하세요.

v0.152.1은 버그 수정이 중심인 릴리스로, snappy 압축 해제 보안 수정과 Prometheus 메트릭 이름 회귀 버그 수정이 실무적으로 가장 중요합니다.

• securityconfighttp snappy 수정으로 압축 페이로드 메모리 노출 위험 해소

  `pkg/confighttp`에서 snappy 압축 해제 관련 버그 세 건이 수정됐습니다. 압축 해제 라이브러리의 패닉을 잡아 HTTP 400을 반환하고, `max_request_body_size`를 버퍼 할당 전에 체크하도록 바뀌었습니다. 특히 크기 제한을 버퍼 할당 전에 적용하는 변경은, 악의적으로 조작된 압축 페이로드로 메모리를 급격히 소비시키는 공격을 막습니다. 신뢰할 수 없는 출처에서 OTLP HTTP 압축 요청을 받는다면 즉시 업그레이드하세요.

• breaking텔레메트리 host를 명시 설정했다면 Prometheus 메트릭 이름 변경 확인 필요

  텔레메트리 설정의 `host` 필드를 명시적으로 지정했던 경우, Prometheus 메트릭 이름이 이 릴리스 전후로 달라질 수 있습니다. 버그로 인해 `WithoutScopeInfo`, `WithoutUnits`, `WithoutTypeSuffix`가 기본값 `true` 대신 `false`로 동작했기 때문에, scope 레이블이나 suffix가 붙은 이름으로 메트릭이 노출됐을 가능성이 있습니다. 업그레이드 후 메트릭 이름이 다시 바뀔 수 있으니, 관련 대시보드와 알람 쿼리를 확인하세요.

• enhancementexporter in-flight 메트릭을 대시보드에 추가하세요

  `pkg/exporterhelper`에 `otelcol_exporter_in_flight_requests` UpDownCounter 메트릭이 추가됐습니다. exporter별 동시 요청 수를 직접 볼 수 있어서, 워커 풀 포화 여부를 기존보다 훨씬 쉽게 파악할 수 있습니다. 업그레이드 후 대시보드에 추가해 두세요.

v1.120.2는 보안 취약점 패치, 메모리 누수 수정, AWS CUR 2.0 지원, OVH 클라우드 프로바이더 추가, cosign 이미지 서명 등 실무적으로 중요한 변경이 많은 릴리즈입니다.

• securityCVE-2026-34986 패치 — 즉시 업그레이드

  GHSA-xmrv-pmrh-hhx2와 CVE-2026-34986에 해당하는 Go 의존성 취약점이 수정됐습니다. v1.119.x 또는 이전 v1.120.x를 운영 중이라면 지금 바로 v1.120.2로 올리세요. 업그레이드 후 취약점 스캐너로 해당 패키지가 실제로 해소됐는지 확인하는 것을 잊지 마세요.

• enhancementAdmission 파이프라인에 cosign 서명 검증 정책 추가

  OpenCost 이미지가 이제 cosign 키리스 서명과 SLSA 프로버넌스 증명을 포함합니다. Kyverno나 Connaisseur 같은 Admission Controller를 쓰고 있다면, opencost 이미지에 서명 검증 정책을 추가하세요. 규제 환경에서 OpenCost를 운영하는 팀이라면 공급망 보안 관점에서 놓치면 안 되는 변경입니다.

• enhancementAWS CUR 2.0 전환 및 스팟 데이터 피드 설정 정리

  AWS 빌링을 이미 CUR 2.0으로 전환한 경우 OpenCost에서 직접 연동 가능합니다. 스팟 데이터 피드를 사용하지 않는다면 새로 추가된 비활성화 토글을 켜세요 — 불필요한 경고 로그와 설정 폴링을 없앨 수 있습니다. 스팟 워크로드가 많은 팀은 스팟 가격 API 캐싱 덕분에 AWS API 호출량도 줄어듭니다.

Litmus 3.29.0은 gRPC CVE 패치, 동시 조정(concurrent reconcile) 환경에서의 중복 실험 트리거 버그 수정, Prometheus 메트릭 지원 추가를 담고 있습니다.

• securityCVE-2026-33186 패치 — 즉시 3.29.0으로 업그레이드

  gRPC 라이브러리가 CVE-2026-33186 취약점 수정을 위해 v1.79.3으로 올라갔습니다. 3.29.0 미만 버전을 운영 중이라면 컨트롤 플레인이 취약한 상태입니다. 다음 스프린트로 미룰 문제가 아니니 즉시 업그레이드하세요.

• breaking업그레이드 후 event-tracker 트리거 동작 검증 필요

  동시 reconcile 환경에서의 중복 실험 트리거 수정은 event-tracker의 레이스 컨디션 처리 방식을 바꿉니다. 자동화 카오스 주입에 event-tracker를 사용 중이라면, 업그레이드 후 파이프라인을 테스트해 트리거 횟수가 의도한 대로인지 확인하세요. 기존에 중복 실행이 실험 커버리지 공백을 가리고 있었을 수도 있습니다.

• enhancementPrometheus 메트릭을 기존 대시보드에 연동하세요

  ChaosCenter가 이제 Prometheus 메트릭을 네이티브로 노출합니다. 시작 가이드와 유닛 테스트가 함께 제공되어 연동이 어렵지 않습니다. Litmus를 스크랩 타겟으로 추가하고, 실험 성공/실패율, 실행 시간, 인프라 연결 상태 등을 추적하면 카오스 워크플로우의 오랜 관측 가능성 공백을 메울 수 있습니다.

Jaeger v2.18.0은 OTEL 메트릭 구조 변경과 min-step API 제거라는 두 가지 브레이킹 체인지와 함께, ES/OpenSearch 헤더 포워딩, UI 상태 관리의 Redux→Zustand 전환 등 굵직한 변화를 담고 있습니다.

• breaking업그레이드 전 메트릭 대시보드 전수 점검

  OTEL 컬렉터 패키지 업그레이드로 Jaeger 내부 메트릭 이름과 구조가 바뀌었습니다. Grafana 대시보드, Prometheus 알림 규칙, 모니터링 쿼리를 모두 검토해야 합니다. 가능하면 구버전과 신버전을 병행 실행하며 메트릭 차이를 먼저 확인하세요. min_step 제거는 영향 범위가 좁지만, metricstore API를 직접 호출하는 커스텀 도구가 있다면 반드시 코드 수정 후 업그레이드해야 합니다.

• enhancement커스텀 헤더 인증을 쓴다면 헤더 포워딩 기능 즉시 활용 가능

  ES/OpenSearch 클러스터에 JWT나 IAM 프록시 헤더 같은 커스텀 인증 헤더가 필요한 환경이라면, 이번에 추가된 헤더 포워딩 기능이 기존 workaround를 대체할 수 있습니다. 멀티 테넌트 환경에서 요청 헤더로 스토리지 라우팅을 제어하는 구성에도 그대로 적용됩니다. jaeger-query 또는 gRPC 스토리지 플러그인 설정에서 구성하면 됩니다.

• enhancementClickHouse 단일 스토리지로 트레이스와 SPM을 함께 쓸 수 있는 시점 임박

  ClickHouse SPM이 이번 릴리스에서 호출률, 오류율, 지연시간을 모두 지원하게 됐고 TTL도 추가됐습니다. 아직 실험적 단계라 프로덕션 투입은 이르지만, ClickHouse를 이미 운영 중이거나 Prometheus 없이 SPM을 쓰고 싶다면 지금 스테이징 환경에서 테스트를 시작하기 좋은 타이밍입니다.

v0.152.0에서는 telemetry host를 커스텀 설정할 때 Prometheus 메트릭 이름이 바뀌던 버그를 수정하고, 맵·슬라이스 값의 AsString HTML 이스케이프 동작을 변경했습니다. 익스포터 in-flight 요청 메트릭도 추가됐습니다.

• breakingtelemetry host를 커스텀 설정했다면 Prometheus 메트릭 이름 검증 필요

  telemetry 섹션에서 host를 직접 지정한 Collector를 운영 중이라면, 업그레이드 후 Prometheus 메트릭 이름을 반드시 확인하세요. 이전 버전에서는 WithoutScopeInfo, WithoutUnits, WithoutTypeSuffix 필드가 잘못된 기본값(false)으로 설정되어 메트릭 이름 형식이 묵시적 기본 설정과 달라졌습니다. 이번 패치로 올바른 기본값이 적용되므로, 메트릭 이름 기반의 대시보드나 알럿이 있다면 업그레이드 전후 이름을 비교하세요.

• breakingAsString 출력 변경 — 맵·슬라이스 값을 파싱하는 로직 점검

  pcommon.Value.AsString이 맵·슬라이스 값 내의 <, >, & 문자를 더 이상 HTML 이스케이프하지 않습니다. 파이프라인 다운스트림에서 &lt; 같은 이스케이프된 문자열을 파싱하거나 기대하는 로직이 있다면 업그레이드 후 동작이 달라집니다. attribute processor, 로그 파서, 익스포터 등에서 맵·슬라이스의 문자열 표현을 사용하는 부분을 점검하세요.

• enhancementotelcol_exporter_in_flight_requests를 대시보드에 추가

  otelcol_exporter_in_flight_requests UpDownCounter가 익스포터별로 동시에 진행 중인 export 요청 수를 추적합니다. 별도 설정 없이 자동으로 노출되므로, Collector 대시보드에 추가해 워커 풀 포화 상태를 조기에 감지할 수 있습니다.