CNCF graduated·incubating 프로젝트 릴리즈 노트의 AI 분석.
Litmus 3.31.0은 프로브 비교자, GraphQL 메모리 누수, 파일 핸들러, 사용자 인증 등 9가지 주요 버그를 고친 정기 유지보수 릴리스입니다. 파괴적 변경이나 보안 이슈는 없습니다.
Thanos v0.42.0은 grpc/authz의 경로 기반 deny 규칙을 우회할 수 있는 CVSS 9.1 취약점(CVE-2026-33186)을 고친 보안 릴리스이면서, Receive와 Store의 플래그 제거를 포함한 여러 breaking change와 새로운 TLS/암호 설정 옵션을 함께 담은 혼합 성격의 업데이트입니다.
조작된 :path 헤더로 grpc/authz 인터셉터의 경로 기반 deny 규칙을 우회할 수 있는 CVSS 9.1 취약점(CVE-2026-33186)이 thanos-community/grpc-go 포크에서 발견되어 이번 버전에서 패치되었습니다. grpc/authz로 경로 기반 접근 제어를 하는 환경은 즉시 업그레이드하세요.
Receive의 --shipper.ignore-unequal-block-size 플래그가 제거되었습니다. TSDB가 shipper의 블록 업로드 완료까지 컴팩션을 지연시켜, 데이터 손실 위험 없이 업로드 중 컴팩션이 가능해진 데 따른 변경입니다. 이 플래그를 사용 중이면 설정에서 제거해야 합니다.
Store의 --debug.advertise-compatibility-label 플래그가 제거되어, 기본적으로 @thanos_compatibility_store_type=store 외부 레이블을 더 이상 광고하지 않습니다. v0.8.0 이전 Thanos Query와의 호환성이 깨지므로, 오래된 Query 컴포넌트와 연동 중이면 업그레이드 순서를 검토하세요.
Query-Frontend의 응답 JSON 필드명이 time_taken에서 time_taken_ms로 바뀌었습니다. 로그 수집기나 이 필드를 파싱하는 도구가 있다면 필드명을 갱신해야 합니다.
OpenTelemetry Collector v0.156.0은 버그 수정 중심 릴리스로, 운영자에게 직접 영향을 주는 변경이 하나 있습니다. memory_limiter 프로세서가 연속 강제 GC 대신 지수 백오프로 전환되며, 상한을 두 개의 새 설정 필드로 제어할 수 있습니다. 그 외에 otlp_http 영구 오류 처리, 리시버 기동 순서, env 변수 nil 해석, 재시도 설정 유효성 검사도 수정됐습니다.
memory_limiter 프로세서가 GC를 실행해도 효과가 없을 때(소프트 리밋 초과 상태 유지 + 회수율 5% 미만) 지수 백오프로 GC 호출을 줄입니다. 백오프 상한은 max_gc_interval_when_soft_limited와 max_gc_interval_when_hard_limited로 조정하며, 기본값은 각각 30s입니다. GC 빈도를 직접 조정해온 환경이라면 이 두 필드를 검토하세요.
Prometheus v3.13.0은 LTS 릴리스로, HIGH 등급 자격 증명 전달 취약점(CVE-2025-4673·CVE-2023-45289)과 MEDIUM 등급 XSS(CVE-2026-44990) 수정이 핵심이며, 페이지네이션 토큰·경로 해석·PromQL 기간 함수명·라이선스 파일 배포 방식 등 네 가지 파괴적 변경과 다수의 신기능 및 성능 개선이 함께 포함됩니다.
리다이렉트 대상 호스트가 다를 때 Authorization 헤더, Basic 인증, Bearer 토큰, OAuth2, 사용자 정의 헤더 등의 자격 증명이 더 이상 전달되지 않습니다. 스크레이핑, 원격 read/write, 알림, 서비스 디스커버리 전반에 걸쳐 영향을 줍니다. CVE-2025-4673·CVE-2023-45289로 추적되며, prometheus/common을 v0.68.x에서 v0.69.0으로 올리면서 적용됐습니다. 교차 호스트 리다이렉트에 의존하는 엔드포인트가 있다면 자격 증명이 조용히 누락되는지 확인하세요.
UI에서 사용하는 sanitize-html에 XSS 취약점(CVE-2026-44990)이 존재했으며 버전 업데이트로 수정됐습니다. 별도 설정 변경 없이 v3.13.0으로 업그레이드하면 됩니다.
룰 그룹 페이지네이션 토큰 생성 방식이 SHA-1에서 SHA-256으로 바뀌었습니다. 이전 버전에서 얻은 토큰을 저장하거나 비교하는 클라이언트나 도구는 업그레이드 후 값이 달라집니다.
--http.config.file로 전달한 파일 내의 상대 경로가 부모 디렉터리가 아닌 해당 설정 파일의 디렉터리를 기준으로 해석됩니다. 상대 경로를 쓰고 있다면 업그레이드 후 경로가 올바르게 해석되는지 확인하세요.
experimental-duration-expr 피처 플래그를 켠 상태라면, PromQL 기간 표현 함수 min()과 max()가 min_of()와 max_of()로 이름이 바뀌었습니다. 해당 함수를 쓰는 쿼리와 룰을 수정하세요.
릴리스 tarball과 컨테이너 이미지에서 npm_licenses.tar.bz2가 제거됐습니다. 서드파티 npm 라이선스 정보는 바이너리에 내장돼 /assets/third-party-licenses.txt로 제공됩니다. 해당 아카이브를 추출하는 자동화가 있다면 수정이 필요합니다.
