릴리즈

v1.17.2는 스케줄러 큐 오라우팅 버그, 오퍼레이터 초기화 실패, Job 레플리카 할당 오류를 수정한 패치 릴리스입니다. Alpine 베이스 이미지도 보안 목적으로 업그레이드됐습니다.

• security에어갭/미러 환경이라면 Alpine 3.23.4 기반 이미지를 새로 동기화해야 합니다

  베이스 이미지가 Alpine 3.23.3에서 3.23.4로 올라갔습니다. 미러링된 프라이빗 레지스트리를 쓰는 환경이라면 v1.17.2 이미지를 다시 풀하고 동기화하세요. 컴플라이언스 절차상 필요하다면 Alpine 변경 이력에서 수정된 CVE 목록을 확인하세요.

• breaking스케줄러 backoffQ 오분류로 숨겨졌던 스케줄링 실패가 표면화될 수 있음

  레플리카 부족 상태의 바인딩이 unschedulableBindings가 아닌 backoffQ로 잘못 라우팅되고 있었습니다. 즉, 실제로는 스케줄 불가 상태인 워크로드가 지수 백오프로 재시도되며 조용히 지연되고 있었을 수 있습니다. 업그레이드 후에는 이런 워크로드들이 unschedulableBindings에서 보이기 시작할 수 있으니, 기존에 스케줄이 느리거나 멈춰 있던 워크로드를 점검하세요.

• enhancementkarmada-operator로 tolerations/affinity를 쓰거나 멀티클러스터 Job을 운영 중이라면 즉시 패치 권장

  오퍼레이터 관리 디플로이먼트가 tolerations와 affinity 설정을 조용히 무시하고 있었는데, 의도치 않은 노드에 파드가 배치될 수 있는 문제입니다. Job completions 오할당도 분산 워크로드의 Job 완료 시맨틱을 망가뜨릴 수 있는 버그입니다. 두 기능 중 하나라도 쓰고 있다면 바로 업그레이드하세요.

Karmada v1.16.5는 스케줄러 큐 오라우팅, Job 레플리카 할당 오류, 오퍼레이터 조정 실패를 수정하고 Alpine 베이스 이미지를 업데이트한 패치 릴리스입니다.

• securityAlpine 3.23.4 베이스 이미지 — Karmada 컴포넌트 재빌드 및 재배포

  Alpine 3.23.3에서 3.23.4로의 업데이트는 업스트림 보안 이슈를 반영한 것입니다. 공식 이미지는 이미 반영되어 있으므로, 커스텀 빌드 이미지를 사용 중이라면 베이스 이미지를 동일하게 업데이트하고 이미지 스캔 파이프라인도 함께 점검하세요.

• breaking스케줄러 큐 오라우팅으로 워크로드가 멈출 수 있음 — 즉시 패치 권장

  클러스터 레플리카가 부족한 바인딩이 unschedulableBindings 대신 backoffQ로 잘못 들어가던 버그입니다. 충분한 클러스터 자원이 생겼는데도 바인딩이 계속 Pending 상태로 남아 있었다면 이 버그의 영향을 받은 것입니다. v1.16.5로 업그레이드하면 영향받은 바인딩은 자동으로 재스케줄됩니다.

• breakingJob completions 클러스터 배분 오류 — 기존 Job 결과 검토 필요

  v1.16.4에서 실행된 멀티클러스터 Job은 클러스터별 completion 수가 의도치 않게 치우쳐 있을 수 있습니다. 업그레이드 후, 해당 버전에서 실행된 Job의 완료 결과를 확인해 프로덕션 환경의 작업 분배에 이상이 없는지 점검하세요.

v1.15.8은 스케줄러 큐 오분류, ClusterAffinities 이벤트 누락, 오퍼레이터 초기화 실패를 수정한 버그픽스 패치입니다. Alpine 기반 이미지도 보안 업데이트됐습니다.

• securityalpine:3.23.4 반영을 위해 이미지 재빌드 또는 공식 이미지 교체

  alpine 3.23.4에는 보안 패치가 포함되어 있습니다. 업스트림 기반 이미지로 커스텀 빌드를 운영 중이라면 새 베이스 이미지로 재빌드가 필요하고, 공식 이미지를 사용 중이라면 v1.15.8 이미지로 교체하면 충분합니다.

• breaking스케줄러 큐 오분류로 워크로드 지연 — 즉시 패치 필요

  레플리카 부족 상태의 바인딩이 unschedulableBindings가 아닌 backoffQ로 들어가면, 지수 백오프 방식으로 재시도가 반복되어 워크로드 재스케줄링이 예상보다 훨씬 오래 걸립니다. ClusterAffinities와 레플리카 제약을 함께 사용 중이라면 v1.15.8로 즉시 업그레이드해야 합니다.

• enhancement오퍼레이터 초기화 멱등성 확보 — 재시작 시 실패 반복 해소

  기존에는 오퍼레이터가 초기화 도중 재시작되면 시크릿 중복 생성으로 재조정이 실패했습니다. 이제 멱등한 방식으로 수정되어, 파드 재시작이나 롤링 업데이트 중 발생하던 init 실패가 더 이상 재현되지 않습니다. 오퍼레이터 초기화 실패를 반복적으로 겪었다면 이번 패치로 해결됩니다.

Knative v1.22.0은 EndpointSlices 전환을 마무리하고, 전 컴포넌트 TLS 설정을 통합하며, 오토스케일링 가시성을 위한 새 메트릭을 추가했습니다.

• enhancement신규 큐/활성 요청 메트릭을 오토스케일링 튜닝에 활용하세요

  queue-proxy에서 kn.revision.request.queued와 kn.revision.request.active를 이제 수집할 수 있습니다. 동시성 목표치를 조정하거나 콜드 스타트 문제를 디버깅한다면, Prometheus 스크레이프 설정과 대시보드에 이 메트릭을 추가하세요. 리비전별 큐 깊이를 직접 확인할 수 있어, 기존에 집계 메트릭으로 추측해야 했던 부분이 훨씬 명확해집니다.

• enhancement최소 권한 환경에서 RBAC 변경 사항을 반드시 확인하세요

  ClusterRole에 EndpointSlices 전환을 위한 endpointslices/restricted 권한이 추가됐습니다. OPA나 Kyverno 등 정책 엔진으로 ClusterRole 변경을 감사하는 클러스터라면, 업그레이드 전에 변경된 역할을 검토하고 승인해야 합니다. 이 권한이 누락되면 오토스케일러의 stat forwarding이 중단됩니다.

• enhancementWebSocket 트래픽을 처리하는 서비스라면 스케일 다운 시 연결 끊김이 줄어듭니다

  queue-proxy가 WebSocket 연결을 이제 graceful하게 종료합니다. 롤링 업데이트나 scale-to-zero 이벤트 때 연결이 강제로 끊기는 문제가 자동으로 개선됩니다. 별도 설정 변경 없이 업그레이드만으로 효과가 적용됩니다.

단일 버그 수정: 정상 종료(graceful shutdown) 또는 pub/sub 컴포넌트 핫리로드 중 수신된 메시지가 데드레터 큐로 유실되던 문제가 해결됐습니다.

• breaking기존 데드레터 큐에서 유실된 메시지 확인 필요

  데드레터 큐를 사용하는 pub/sub 환경이라면, 이전 롤링 배포나 재시작 과정에서 DLQ로 빠진 메시지들이 재처리되지 않은 채 남아 있을 수 있습니다. 업그레이드 전에 DLQ를 점검하고, 실제로 처리됐어야 할 메시지를 식별해 재처리 계획을 세우세요. 업그레이드 후에는 배포 중 DLQ 깊이를 지표로 모니터링하세요. 이제 DLQ 급증은 실제 처리 실패를 의미하므로 신뢰할 수 있는 알림 기준이 됩니다.

• enhancement롤링 배포나 잦은 재시작 환경이라면 즉시 패치 적용을 권장

  Kubernetes 롤링 업데이트나 빈번한 파드 재시작을 운영하는 팀은 이 패치를 우선순위 높게 적용하세요. 기존 문제는 앱에 오류가 전혀 노출되지 않아 발견이 어려웠습니다. 수정 범위가 종료 경로에 한정되어 있어 1.17.x에서의 업그레이드 위험도는 낮습니다.

Wasmtime 44 업그레이드, 풀링 할당자 충돌 수정, Linux GPU 지원을 위한 glibc 빌드 추가가 포함된 패치 릴리스입니다.

• security풀링 할당자 충돌이 있었다면 즉시 업그레이드하세요

  기존에는 호스트 하드웨어의 지원 여부 확인 없이 풀링 할당자가 활성화되었고, 이로 인해 런타임 충돌이나 예측 불가한 메모리 동작이 발생할 수 있었습니다. 특정 호스트 유형에서 wash-runtime 불안정 증상이 있었다면 이번 수정이 원인을 해결한 겁니다. 업그레이드 후 메모리 할당 동작을 모니터링하세요.

• breakingWasmtime 44 업그레이드 전 스테이징 환경에서 반드시 검증하세요

  Wasmtime 44는 하위 런타임의 메이저 버전 변경입니다. wasmCloud가 감싸고 있긴 하지만, Wasmtime은 버전마다 메모리 처리, WASI 인터페이스, 컴포넌트 모델 동작에 변화가 생기는 경우가 있습니다. 프로덕션 클러스터 업그레이드 전에 반드시 비프로덕션 환경에서 컴포넌트 워크로드를 검증하세요.

• enhancementLinux GPU 워크로드 운영 중이라면 glibc 빌드로 전환을 검토하세요

  Linux에서 GPU 기능을 사용하는 wasmCloud 워크로드를 운영 중이거나 계획하고 있다면, 새로운 glibc 빌드가 동적 링크 런타임을 기대하는 표준 Linux 배포판과의 호환성 문제를 해결합니다. 새 아티팩트를 받아 GPU 호스트 환경에서 검증해 보세요.

KubeVirt v1.7.3은 라이브 마이그레이션, ARM64/s390x 게스트, VMExport, virt-handler 안정성 등 11개 버그를 수정한 패치 릴리스입니다.

• breaking백엔드 스토리지 볼륨 이름 변경 — 기존 VM 영향 확인 필요

  백엔드 스토리지를 사용하는 VM의 볼륨 이름이 VM 이름 기반에서 'persistent-state-for-this-vm'으로 고정됩니다. 기존 볼륨 이름 패턴을 참조하는 모니터링, 자동화 스크립트, 운영 도구가 있다면 업그레이드 전에 반드시 수정하세요. 환경 내 백엔드 스토리지 사용 VM을 먼저 파악한 뒤 롤아웃 계획을 세우는 게 좋습니다.

• enhancementARM64·s390x 게스트 운영 또는 분산 라이브 마이그레이션 사용 시 우선 적용 권장

  ARM64 SMBIOS 미표시, s390x PCIe 컨트롤러 오류, 분산 라이브 마이그레이션 후 Hyper-V enlightenment VM 마이그레이션 실패 등 세 가지 아키텍처·마이그레이션 관련 버그가 수정됐습니다. 해당 환경을 운영 중이라면 v1.7.2 유지보다 이번 패치를 먼저 적용하는 편이 낫습니다.

• enhancementvirt-handler 소켓 장애 자동 복구 — 수동 파드 재시작 불필요

  domain-notify 소켓 삭제 및 비정상 종료에 대한 두 가지 수정이 포함됩니다. 기존에는 소켓 문제가 발생하면 virt-handler가 broken 상태로 남아 수동 개입이 필요했지만, 이제는 자동으로 복구됩니다. 노드에서 원인 불명의 VM 통신 장애가 반복됐다면 이 문제일 가능성이 높습니다.

KubeVirt v1.6.5는 분산 라이브 마이그레이션 안정성, virt-handler 복구, 모니터링 정확도 개선에 집중한 패치 릴리스입니다.

• breaking백엔드 스토리지 볼륨 이름 변경 — 기존 스크립트 점검 필요

  백엔드 스토리지를 사용하는 VM의 볼륨 이름이 VM 이름 기반 형식에서 'persistent-state-for-this-vm'으로 바뀝니다. PVC 이름 패턴에 의존하는 스크립트, 대시보드, 알림 규칙이 있다면 업그레이드 전에 반드시 수정하세요.

• enhancement분산 라이브 마이그레이션 사용 중이라면 즉시 업그레이드

  이번 패치에서 분산 라이브 마이그레이션 관련 버그 3건이 한꺼번에 수정됐습니다. Windows VM(Hyper-V enlightenment)을 운영하거나 서로 다른 volumeMode 간 마이그레이션을 시도했던 클러스터라면 v1.6.4보다 이 버전을 우선 적용하세요.

• enhancement모니터링 알림 기준 변경 — 임계값 재검토

  KubeVirt 컴포넌트 낮은 수 알림이 이제 배포에 설정된 레플리카 수를 기준으로 발생하고, 스케줄 불가 노드는 allocatable_nodes 지표에서 제외됩니다. 업그레이드 후 기존 알림 규칙이 예상과 다르게 동작할 수 있으니, 비스케줄 노드가 있거나 레플리카 수를 커스텀으로 설정한 환경에서는 임계값을 재검토하세요.

v2.0.4는 wash dev/host TLS 지원 확장, Helm 차트 게이트웨이 라우팅 수정, 거버넌스 문서 업데이트를 담은 유지보수 릴리스입니다.

• breaking로컬 Helm 게이트웨이 라우팅 설정 반드시 확인

  values.local.yaml에서 gateway가 기본 비활성화로 바뀌었고, hello-world 예제는 Kubernetes Service를 통해 라우팅됩니다. 로컬 Helm values를 직접 커스터마이징해 게이트웨이 기반 라우팅을 쓰고 있었다면, 업그레이드 전에 변경된 기본값과 비교해 충돌 여부를 점검해야 합니다.

• enhancement로컬·프로덕션 환경 모두 TLS 설정 적용 검토

  이제 wash dev와 wash host 모두 TLS를 지원합니다. 그동안 로컬 개발에서 TLS를 건너뛰었다면, 이번 기회에 설정을 맞춰보세요. 로컬 단계에서 인증서·연결 문제를 미리 잡아야 프로덕션 장애를 예방할 수 있습니다.

KubeVirt v1.8.2는 핫플러그 볼륨, 라이브 마이그레이션, TLS 설정, qcow2 디스크 처리, 멀티아치 VM 안정성 등 12개 버그를 수정한 패치 릴리스입니다.

• breaking백엔드 스토리지 볼륨 이름 변경 — 자동화 스크립트 점검 필요

  백엔드 스토리지 볼륨 이름이 VM 이름을 포함한 형식에서 'persistent-state-for-this-vm'으로 바뀝니다. 이 볼륨 이름을 기준으로 동작하는 모니터링 알림, 스크립트, 도구가 있다면 업그레이드 전에 반드시 점검하세요. 실패 없이 조용히 오동작할 수 있는 유형의 변경입니다.

• enhancements390x·ARM64 클러스터라면 v1.8.2로 업그레이드 권장

  ARM64 게스트의 SMBIOS 시스템 정보 미노출 문제와, v3 PCI 토폴로지 변경으로 인한 s390x VM 생성 실패 문제가 함께 수정됐습니다. 멀티아치 클러스터에서 v1.8.x 적용을 보류하고 있었다면 이 버전에서 해결됩니다.

• enhancementKubeVirt CR의 TLS 설정이 이제 실제로 적용됨 — 설정값 재확인 필요

  sync-controller healthz 서버와 virt-exportserver가 KubeVirt CR의 TLSConfiguration을 무시하던 문제가 수정됐습니다. 업그레이드 후 CR에 설정된 TLS 옵션이 실제로 활성화되므로, 특히 특정 암호화 알고리즘이나 TLS 버전을 강제하는 클러스터에서는 CR 설정값이 의도한 대로 되어 있는지 미리 확인하세요.

Crossplane v2.2.1은 ImageConfig 접두사 재작성 시 의존성 업그레이드 누락과 ResourceSelector 처리 버그를 수정하고, 보안 관련 의존성을 일괄 업데이트한 패치 릴리스입니다.

• security보안 패치 적용을 위해 v2.2.1로 즉시 업그레이드

  이번 릴리스에는 cosign, go-git, go-jose, cloudflare/circl 등 8개 이상의 업스트림 라이브러리 보안 패치가 포함됩니다. go-git은 이번 릴리스에서만 v5.17.1과 v5.18.0으로 두 차례 보안 업데이트가 이뤄졌습니다. v2.2.0을 사용 중이라면 지금 바로 업그레이드 일정을 잡으세요. 호환성을 깨는 변경 사항은 없으므로 드롭인 교체가 가능합니다.

• breaking업그레이드 후 ImageConfig 접두사 재작성 설정 검증 필요

  프라이빗 레지스트리 미러 등으로 패키지 풀을 우회하는 ImageConfig 접두사 재작성을 사용 중이었다면, 이전까지 의존성 패키지가 오래된 버전에 고정된 채로 방치됐을 수 있습니다. v2.2.1로 업그레이드하면 Crossplane이 그동안 멈춰 있던 의존성 패키지를 재조정하며 업그레이드할 수 있으니, 업그레이드 후 설치된 패키지 버전을 반드시 확인하세요.

• enhancement컴포지션 함수에서 광범위한 ResourceSelector 안전하게 사용 가능

  특정 kind의 모든 리소스를 선택해야 하는 컴포지션 함수에서 더 이상 우회책이 필요하지 않습니다. apiVersion과 kind만 설정한 ResourceSelector가 유효하게 처리됩니다. matchLabels나 matchName 와일드카드로 이 문제를 우회했다면, 함수 로직에서 해당 셀렉터를 단순화할 수 있습니다.

v2.1.5는 ImageConfig 업그레이드 누락, ResourceSelector 매칭 오류, XR 삭제 시 서킷 브레이커 초기화 실패 등 세 가지 동작 버그를 수정하고, Go 1.25.9를 포함한 광범위한 보안 의존성 업데이트를 반영한 패치 릴리스입니다.

• security핵심 의존성 다수에 CVE 패치 포함 — 빠른 업그레이드 권장

  grpc, go-git(두 번 패치), go-jose, cloudflare/circl, moby/spdystream, docker/cli, OTel OTLP 트레이스 익스포터에 걸쳐 보안 업데이트가 포함됐고, Go 자체도 1.25.9로 올라갔습니다. 단순한 의존성 정리 수준이 아닙니다. v2.1.4에 머무를 이유가 없으니, 가능한 한 빨리 이 버전으로 전환하세요.

• breakingImageConfig 프리픽스 재작성 사용 시 패키지 버전 누락 여부 확인 필수

  ImageConfig로 레지스트리 프리픽스를 재작성하는 환경이라면, 버그가 존재하던 기간 동안 의존 패키지가 조용히 구버전에 고정됐을 수 있습니다. v2.1.5로 업그레이드한 뒤 패키지 의존성 그래프를 직접 확인하세요. 오래된 패키지는 자동으로 재설치되지 않으므로, 버전 범프나 수동 재설치를 통해 명시적으로 갱신해야 합니다.

• enhancementkind 전체 선택 ResourceSelector로 컴포지션 함수 로직 단순화 가능

  이전에 bare apiVersion/kind 셀렉터가 거부되어 dummy matchLabels를 추가하거나 로직을 우회하는 방식으로 작성한 컴포지션 함수가 있다면 정리할 때가 됐습니다. 매치 필드 없이 apiVersion과 kind만 지정하면 '해당 종류의 모든 리소스'로 올바르게 해석됩니다. 업그레이드 후 기존 워크어라운드를 검토하고 제거하세요.

v2.0.8은 ImageConfig 프리픽스 리라이트 의존성 업그레이드 오류와 ResourceSelector 처리 버그를 수정하고, 다수의 업스트림 보안 취약점을 패치한 릴리스입니다.

• security보안 패치를 위해 즉시 v2.0.8로 업그레이드

  이번 릴리스에서 보안 태그가 붙은 의존성 업데이트가 다수 포함됐습니다. go-git은 v5.17.1에 이어 v5.18.0까지 두 차례 올라갔고, go-jose, cloudflare/circl 등도 CVE 관련 수정입니다. v2.0.x를 사용 중이라면 지금 바로 업그레이드하세요. API 변경이 없어 업그레이드 경로는 단순합니다.

• breakingImageConfig 프리픽스 리라이트 환경에서 패키지 의존성 버전 점검 필수

  사설 레지스트리 리다이렉션 등을 위해 ImageConfig 프리픽스 리라이트를 사용해왔다면, 의존 패키지들이 오래된 버전에 조용히 고착됐을 수 있습니다. v2.0.8 업그레이드 후 강제 reconciliation을 실행하고, 모든 패키지 의존성이 기대 버전인지 확인하세요. 업그레이드만으로 이미 고착된 상태가 자동 해소된다고 가정하지 마세요.

• enhancement컴포지션 함수에서 'kind 전체 선택' 시 빈 ResourceSelector 활용 가능

  기존에는 ResourceSelector에 matchName과 matchLabels를 생략하면 요청 자체가 거부됐습니다. 이제는 빈 셀렉터가 '해당 kind의 모든 리소스'를 의미하도록 올바르게 처리됩니다. 이 제한을 피하려고 리소스를 일일이 열거하거나 더미 조건을 추가했다면, 업그레이드 후 해당 워크어라운드를 정리하세요.

v1.20.6은 여러 의존성 CVE를 수정하고 CI 워크플로우의 스크립트 인젝션 취약점을 보강한 보안 중심 패치 릴리스입니다.

• security의존성 CVE 다수 패치 — 즉시 v1.20.6으로 업그레이드

  이번 릴리스에서 암호화(circl), git 처리(go-git), HTTP/2 스트리밍(spdystream), 텔레메트리(otelhttp) 등 다섯 개 보안 의존성이 한꺼번에 업데이트됐습니다. go-git은 단 하나의 패치 릴리스 안에서 두 번 연속 보안 수정이 들어갔는데, 이는 실제 악용 가능성이 높다는 신호로 읽어야 합니다. v1.20.x를 운영 중이라면 지금 바로 업그레이드하세요.

• securityCI/CD 공급망 보안 강화 — 자체 파이프라인도 점검 필요

  Crossplane 팀은 릴리스 프로모션 워크플로우의 스크립트 인젝션을 차단하고 GitHub Actions 잡 권한을 최소화했습니다. Crossplane 포크나 커스텀 자동화를 운영 중이라면 자체 워크플로우도 같은 패턴으로 점검해야 합니다. 확인 포인트는 두 가지입니다: run 스텝에 신뢰할 수 없는 입력값이 들어가는 곳, 그리고 GITHUB_TOKEN 권한이 과도하게 넓은 잡.

• enhancementTrivy 스캔 CI에서 제거 — 자체 스캔 체계 확인 필요

  이번 릴리스에서 Crossplane은 자체 CI 파이프라인에서 Trivy 스캔을 제거했습니다. Crossplane 업스트림의 스캔 결과를 보안 신호로 참고하고 있었다면, 그 정보는 더 이상 제공되지 않습니다. Crossplane 이미지와 프로바이더 이미지에 대한 취약점 스캔을 자체 파이프라인에서 독립적으로 운영하고 있는지 지금 확인하세요.

서비스 호출 ACL을 완전히 우회할 수 있는 경로 순회 취약점 패치. 액세스 제어 정책을 사용하는 모든 Dapr 배포는 즉시 업그레이드해야 합니다.

• security서비스 호출 ACL 사용 중이라면 즉시 업그레이드

  이론상의 취약점이 아닙니다. 서비스 호출에 액세스 제어 정책을 적용 중이고 Dapr API에 신뢰할 수 없는 호출자가 접근 가능한 환경이라면, 현재 취약한 상태입니다. 특히 gRPC 경로는 메서드 문자열을 raw로 그대로 전달하기 때문에 위험도가 더 높습니다. 지금 바로 v1.15.14로 업그레이드하세요. 서비스 호출 비활성화나 API 완전 격리 외에는 별도의 임시 대응책이 없습니다.

• securityDapr API 엔드포인트 접근 경로 전면 감사

  이 취약점은 API 접근을 전제로 하므로, 실제 피해 범위는 네트워크 구성에 달려 있습니다. 업그레이드 후 어떤 워크로드와 네트워크 경로가 Dapr HTTP/gRPC API에 접근 가능한지 점검하세요. 사이드카 localhost 접근만 허용하는 구성이 가장 안전합니다. API를 더 넓은 범위에 노출하고 있다면, 이번 패치와 무관하게 접근 범위를 좁혀두는 것이 바람직합니다.

• breaking업그레이드 후 서비스 호출 메서드 경로 라우팅 검증 필요

  이번 수정으로 모든 메서드 경로에 path.Clean 정규화가 적용되고, #, ?, 널 바이트, 제어 문자가 포함된 경로는 거부됩니다. 특히 gRPC에서 %2F를 경로 구분자로 사용하던 서비스가 있다면 동작이 달라질 수 있습니다. 프로덕션 배포 전에 서비스 간 호출 패턴을 반드시 테스트하세요.

v1.17.5는 인코딩된 URL 문자를 이용한 경로 순회 공격으로 서비스 호출 ACL 정책을 우회할 수 있던 보안 취약점을 수정한 패치입니다.

• security서비스 호출 ACL 사용 중이라면 즉시 업그레이드

  서비스 호출에 접근 제어 정책을 쓰는 모든 배포 환경이 영향을 받습니다. Dapr API(HTTP·gRPC)에 접근할 수 있는 공격자가 경로를 인코딩하는 것만으로 차단된 엔드포인트에 도달할 수 있었습니다. gRPC는 메서드 문자열을 raw로 전달하기 때문에 특히 위험했습니다. 별도의 완화 방법은 없으며, v1.17.5로 즉시 업그레이드하세요. 업그레이드 후에는 ACL 정책을 검토해 의도한 경로가 실제로 적용되는지 확인하세요.

• breaking#, ?, null 바이트, 제어 문자가 포함된 메서드 경로는 이제 거부됨

  이번 수정으로 #, ?, null 바이트, 제어 문자가 포함된 메서드 경로는 호출 진입점에서 즉시 거부됩니다. gRPC에서 이런 문자를 메서드 경로에 사용하는 서비스가 있다면(드물지만 가능) 업그레이드 후 해당 호출이 실패합니다. 운영 환경 적용 전에 스테이징에서 서비스 호출 경로를 반드시 테스트하세요.

서비스 호출 메서드 경로의 경로 순회 및 인코딩 문자가 ACL 정책을 우회할 수 있는 치명적 보안 취약점 수정. 접근 제어 정책을 사용 중이라면 즉시 업그레이드해야 합니다.

• security서비스 호출 ACL 사용 중이라면 즉시 업그레이드

  서비스 호출 접근 제어 정책을 사용하는 모든 배포 환경이 취약합니다. Dapr HTTP 또는 gRPC API에 접근할 수 있는 공격자가 ACL이 허용하는 것처럼 보이지만 실제로는 차단된 엔드포인트로 라우팅되는 메서드 경로를 만들어낼 수 있습니다. gRPC 경로가 특히 위험합니다. 별도의 현실적인 완화 방법이 없으므로 v1.16.14로 즉시 업그레이드하세요. 업그레이드 후에는 기존 ACL 정책 규칙이 정규화된 경로 형식(../ 해소, 인코딩된 구분자 없음)과 일치하는지 검토하십시오.

• breaking#, ?, 널 바이트, 제어 문자가 포함된 메서드 경로는 이제 거부됨

  수정 후에는 프래그먼트(#), 쿼리(?), 널 바이트, 제어 문자가 포함된 메서드 경로를 자동으로 거부합니다. 가능성은 낮지만, 프로그래밍 방식으로 gRPC 메서드 경로를 동적으로 구성하는 코드가 있다면 업그레이드 후 해당 호출이 실패할 수 있습니다. 프로덕션 적용 전에 메서드 경로를 동적으로 생성하는 서비스 호출 코드를 미리 점검하십시오.

Dapr v1.16.13은 다중 레플리카 환경에서 스케줄러 재시작 시 job 트리거가 멈추는 심각한 버그를 수정하고, Pulsar 설정 무시 문제와 OOM 위험을 해결하며, Go 1.25.9 보안 패치를 포함합니다.

• securityGo 1.25.9 보안 패치 적용을 위해 즉시 업그레이드

  Go의 crypto/x509, crypto/tls, archive/tar, html/template 패키지 취약점이 패치됐습니다. 1.16.12 이하를 사용 중이라면 지금 바로 1.16.13으로 올려야 합니다. 소스에서 직접 Go 1.25.9로 재빌드하지 않는 한 다른 우회책은 없습니다.

• breakingPulsar 사용자: processMode가 이제 실제로 적용됩니다 — 설정 검토 필수

  컴포넌트 YAML에 processMode를 설정해 뒀다면, 이전까지는 조용히 무시됐습니다. 업그레이드 후에는 해당 설정이 실제로 적용됩니다. processMode: sync로 순서 보장을 기대했지만 실제로는 비동기로 동작하고 있었다면, 업그레이드 시 동작이 바뀝니다. 프로덕션 배포 전에 Pulsar 컴포넌트 메타데이터와 구독 동작을 반드시 검토하세요. maxConcurrentHandlers를 0으로 설정했다면 기존에는 데드락이 발생했는데, 이제는 기본값 100으로 폴백됩니다.

• breaking다중 레플리카 스케줄러 운영 중이라면 즉시 패치 적용

  스케줄러 버그는 실제 운영에서 매우 치명적입니다. 롤링 업데이트, OOM 킬, 노드 축출 등 일상적인 파드 재시작만으로도 전체 배포의 job 트리거가 조용히 멈춥니다. 오류 알림이나 명시적인 실패도 없이 job이 그냥 동작을 멈추는 것입니다. HA 구성으로 스케줄러를 여러 레플리카로 운영 중이라면 이 수정은 필수입니다. 업그레이드 후 스케줄러 파드 재시작 시 예약 작업이 정상 실행되는지 반드시 확인하세요.

v2.0.3은 NATS 구독자 초기화 경쟁 조건 버그 수정, Kubernetes EndpointSlice 지원 추가, 컨테이너 비루트 소유권 설정, Helm 차트 확장 구성을 포함합니다.

• security즉시 업그레이드: 컨테이너가 기본적으로 비루트로 실행됩니다

  이전 릴리스는 루트 소유권으로 실행되어 컨테이너 보안 관점에서 문제가 있었습니다. 이번 릴리스부터 비루트 소유권이 기본값으로 변경됐습니다. 볼륨 마운트나 루트 권한에 의존하는 init 컨테이너가 있다면 프로덕션 적용 전 반드시 테스트하고, 필요하면 파드 스펙의 fsGroup 또는 runAsUser 설정을 조정하세요.

• breakingHelm 차트 이미지 태그 기본값 변경 — values 파일을 점검하세요

  기본 이미지 태그가 더 이상 하드코딩된 값을 사용하지 않고 chart.yaml의 appVersion을 따릅니다. values 파일에서 태그를 명시적으로 오버라이드하고 있다면 대부분 그대로 동작하겠지만, 기존 기본값 방식으로 이미지 버전을 고정했던 경우라면 차트 업그레이드 후 배포된 이미지 버전을 반드시 확인하세요.

• enhancementKubernetes 1.21 이상이라면 EndpointSlice를 활성화하세요

  EndpointSlice는 기존 Endpoints API를 대체하는 방식으로, 백엔드 수가 많을 때 확장성이 훨씬 뛰어납니다. kube-apiserver 부하를 줄이고 기존 Endpoints API의 스케일 한계를 피하려면 Helm values에서 EndpointSlice 옵션을 활성화하세요. Kubernetes 1.21 이상 환경이라면 지금 바로 적용할 수 있습니다.

Dapr 1.17.4는 워크플로우 정확성, Pulsar OOM 위험, Placement 지연으로 인한 Actor 동결, Go 표준 라이브러리 보안 취약점 등 7개 버그를 수정했습니다.

• securityGo 표준 라이브러리 CVE 패치 — 즉시 업그레이드 권장

  Go 1.25.9는 archive/tar, crypto/tls, crypto/x509, html/template, 컴파일러에서 발견된 취약점을 수정합니다. Dapr의 모든 바이너리와 Docker 이미지가 패치된 툴체인으로 재빌드됐습니다. 설정 변경 없이 버전만 1.17.4로 올리면 됩니다.

• breakingPulsar processMode 동작 변경 — 컴포넌트 설정 검토 필수

  기존에 Pulsar 컴포넌트 YAML에 processMode를 설정했다면 그 값은 사실상 무시되고 있었습니다. 업그레이드 후에는 설정값이 실제로 적용됩니다. processMode: sync로 순서 보장을 기대했지만 실제로는 async 모드로 돌고 있었다면, 업그레이드 후 동작이 달라집니다. async 모드는 이제 maxConcurrentHandlers(기본값 100)로 동시성이 제한됩니다. 운영 배포 전 Pulsar 컴포넌트 메타데이터를 반드시 점검하고 처리량 동작을 테스트하세요.

• enhancementPlacement 지연으로 인한 Actor·워크플로우 동결 위험 해소

  Placement 전파 동결 버그는 롤링 업데이트 중 연쇄적인 헬스 체크 실패를 유발할 수 있었고, Kubernetes가 Pod를 비정상으로 판단해 재시작하면서 상황이 더 악화되는 패턴이었습니다. 1.17.4부터는 느린 피어 감지 시 치명적 종료 대신 재연결을 시도합니다. 롤링 업데이트 중 Actor 행(hang)이나 zombie daprd 프로세스를 경험한 적 있다면 이 버그가 원인이었을 가능성이 큽니다. 별도 설정 변경 없이 업그레이드만으로 적용됩니다.

v2.0.2는 wasmtime v43 업그레이드, Kubernetes Host 파드 리콘실러 추가, 설치 스크립트 개선을 담은 패치 릴리스입니다.

• enhancementwasmtime 43 런타임 개선 적용을 위한 업그레이드 권장

  wasmtime 43은 업스트림 버그 수정과 성능 개선을 포함합니다. v2.0.1을 운영 중이라면 위험 부담이 낮은 업그레이드입니다. wasmCloud API 변경은 없으므로 호스트만 재배포하면 됩니다.

• enhancementKubernetes 운영자: 새 Host 파드 리콘실러 검증 필요

  Host 파드 리콘실러는 Kubernetes에서 동작하는 wasmCloud 호스트 파드의 생명주기를 더 정교하게 처리합니다. wasmCloud 오퍼레이터를 사용 중이라면 프로덕션 적용 전에 스테이징 클러스터에서 파드 재시작과 스케줄링 동작을 먼저 검증하세요.

• enhancementWindows 사용자: winget으로 wash 설치 가능

  wash가 winget 패키지 레지스트리에 등록됐습니다. Windows 환경의 팀은 바이너리를 수동으로 받는 대신 winget으로 표준화된 설치가 가능해졌으며, Windows 러너 기반 CI 파이프라인 구성에도 활용할 수 있습니다.