릴리스

조치 필요 (7)

• securityhigh중간 인증서 수 제한

  중간 인증서 수를 제한해 CVE-2026-32280 완화 조치를 적용했습니다.

• securityhighgo toolchain 1.26.3 업데이트

  go toolchain을 1.26.3으로 올려 CVE-2026-39836을 해결했습니다.

• securityCRDs와 문서 재생성

  GHSA-79gf-7frw-68m9 API가 상향된 뒤 CRDs와 문서를 다시 생성했습니다.

• security보안 의존성 버전 업데이트

  golang.org/x/crypto를 v0.53.0으로, x/net을 v0.56.0으로 올려 보안 CVE를 해결했습니다.

• securityORAS와 sigstore CodeQL 취약점 패치

  ORAS와 sigstore의 CodeQL 취약점에 대한 패치를 반영했습니다.

• securityCodeQL 보안 취약점 수정

  공개된 CodeQL 보안 취약점을 해결했습니다.

• securitycel-go v0.30.0 업데이트

  cel-go를 v0.30.0으로 올려 CVE-2026-GHSA-gcjh-h69q-9w9g를 해결했습니다.

조치 필요 (2)

• securitymediumjackson-databind 보안 수정

  jackson-databind를 2.21.5로 업그레이드해 CVE-2026-59888과 CVE-2026-59889를 수정했습니다.

• securitymediumOpenTelemetry Java SDK 메모리 할당 문제 수정

  OpenTelemetry Java SDK의 W3C Baggage 전파에서 메모리가 제한 없이 할당되던 CVE-2026-45292를 수정했습니다.

조치 필요 (1)

• securitycriticalGo 빌드 버전 1.26.6 적용

  이 릴리스는 Go 1.26.6으로 OPA를 빌드하며, HTTP handler와 crypto builtins가 사용하는 Go 표준 라이브러리의 취약점을 수정합니다.

조치 필요 (3)

• securitydependencies 취약점 일괄 수정

  dependencies에서 발견된 취약점을 일괄 수정했습니다.

• breakingRego 평가를 RegoV1로 전환

  Rego 평가를 RegoV1로 전환하고 v0 호환 심을 제거했습니다.

• breaking접속 범위를 loopback 전용으로 제한

  접속 범위를 loopback으로만 제한했습니다( #2639).

영향 확인 (12)

• securityhighCVE-2026-15573 정규화되지 않은 URI 비교에 따른 인증 우회 수정

  pathmatcher를 사용하는 경우에 적용됩니다.

• securityhighCVE-2026-15572 DCR 프로토콜 매퍼 유형 변경 정책 우회 수정

  DCR을 사용하는 경우에 적용됩니다.

• securityhighCVE-2026-16442 SAML 브로커 링크 전용 로그인 제한 우회 수정

  SAML 브로커를 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 9건 더

조치 필요 (1)

• securityhigh내장 grpc-health-probe 재빌드

  내장 grpc-health-probe를 v0.4.53으로 갱신하고 Go 1.26.5로 다시 빌드했습니다. 이에 따라 출시 이미지가 Go 표준 라이브러리 취약점을 포함하지 않으며, CVE-2026-39822도 반영되었습니다.

조치 필요 (3)

• securityhighGHSA-fxhp-mv3v-67qp 대응 의존성 업데이트

  oras.land/oras-go/v2가 2.6.1에서 2.6.2로 업데이트되었으며, GHSA-fxhp-mv3v-67qp에 대응합니다.

• breakingHTTP 서버 ReadHeaderTimeout 기본값 조정

  모든 HTTP 서버의 ReadHeaderTimeout 기본값이 32s로 설정됩니다.

• breaking이름이 겹치는 부분 집합 및 -object 규칙 거부

  ast가 부분 집합 규칙과 -object 규칙이 같은 이름을 공유하는 경우를 거부합니다.

조치 필요 (4)

• securitygolang.org/x/text 버전 갱신

  golang.org/x/text를 v0.40.0으로 올려 보고된 보안 취약점에 대응했습니다. 관련 이슈는 #9039이며, @wallrj-cyberark가 기여했습니다.

• securitygoogle.golang.org/grpc 버전 갱신

  google.golang.org/grpc를 v1.82.1로 올려 보고된 보안 취약점에 대응했습니다. 관련 이슈는 #9063입니다.

• securitygithub.com/google/cel-go 버전 갱신

  github.com/google/cel-go를 v0.29.0으로 올려 보고된 보안 취약점에 대응했습니다. 관련 이슈는 #9072입니다.

• securitygo.opentelemetry.io/otel 버전 갱신

  go.opentelemetry.io/otel을 v1.44.0으로 올려 보고된 보안 취약점에 대응했습니다. 관련 이슈는 #9073입니다.

영향 확인 (6)

• breakingKBS client 인증 자격 증명 변경

  KBS client를 사용하는 경우에 적용됩니다.

• breakingCAA docker provider 제거

  CAA docker provider를 사용하는 경우에 적용됩니다.

• breakingFedora 기반 mkosi 빌드 CAA podvm 이미지 제거

  Fedora 기반 mkosi 빌드 CAA podvm 이미지를 사용하는 경우에 적용됩니다.

• 릴리스 페이지에 3건 더

영향 확인 (1)

• breaking내장 VAP 번들을 기본으로 사용하는 deploy-library

  deploy-library를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• security보안 의존성 업데이트

  #16340의 보안 의존성 업데이트를 release-1.18에 백포트했습니다.

조치 필요 (2)

• securityDocker 의존성의 Moby 의존성 이전

  CVE를 해결하기 위해 github.com/docker/docker 의존성을 github.com/moby/moby에 해당하는 의존성으로 이전했습니다. (#7078)

• breaking에이전트 상태 확인 호출의 RPC 메트릭 제거

  에이전트 상태 확인 루프의 루프백 호출에서는 더 이상 RPC 메트릭을 내보내지 않습니다. 메트릭 잡음도 줄어듭니다. (#6929)

조치 필요 (1)

• security계정 탈취 전 단계 공격 문제 수정

  계정 탈취 전 단계의 공격으로 이어질 수 있는 문제를 수정했습니다.

영향 확인 (5)

• securitycert-manager-edit 권한에서 내부 리소스 조작 제거

  cert-manager-edit 집계 ClusterRole을 사용한다면 이 변경이 적용됩니다.

• breakingAPI에서 ObjectReference 제거

  API에서 ObjectReference를 사용한다면 이 변경이 적용됩니다.

• breakingPrometheus 모니터링 관련 Helm 값 제거

  prometheus.servicemonitor.targetPort, prometheus.servicemonitor.path 또는 prometheus.podmonitor.path를 설정한다면 이 변경이 적용됩니다.

• 릴리스 페이지에 2건 더

영향 확인 (1)

• breakingSecurityException CRD 제거

  SecurityException CRD를 사용하는 경우에 적용됩니다.

조치 필요 (8)

• securityhighgroup-admin의 realm-admin 권한 상승 수정

  CVE-2026-9099과 관련해 그룹 관리자 권한이 realm-admin 권한으로 상승하는 문제를 수정했습니다.

• securityhigh대소문자 무시 URI 검증 우회에 따른 XSS 수정

  CVE-2026-9086과 관련해 대소문자를 구분하지 않는 URI 검증 우회로 XSS가 발생할 수 있는 문제를 수정했습니다.

• securityhigh잘못된 scope mapping 검증에 따른 권한 상승 수정

  CVE-2026-9795와 관련해 scope mapping 적용 검증이 제대로 이뤄지지 않아 권한이 상승할 수 있는 문제를 수정했습니다.

• securityhigh잘못된 URI 비교에 따른 policy enforcer 인가 우회 수정

  CVE-2026-9800과 관련해 잘못된 URI 비교로 policy enforcer의 인가를 우회할 수 있는 문제를 수정했습니다.

• securityhighJWT 알고리즘 혼동에 따른 인증 우회 수정

  CVE-2026-11800과 관련해 JWT 알고리즘 혼동으로 인증을 우회할 수 있는 문제를 수정했습니다.

• securitymedium임의 파일 시스템 경로 탐색에 따른 정보 공개 수정

  CVE-2026-9083과 관련해 임의 파일 시스템 경로를 탐색하는 과정에서 정보가 공개될 수 있는 문제를 수정했습니다.

• securitymedium등록 액세스 토큰을 이용한 비활성 클라이언트 탈취 수정

  CVE-2026-9705와 관련해 등록 액세스 토큰으로 비활성화된 클라이언트를 다시 활성화하고 탈취할 수 있는 문제를 수정했습니다.

• securitymediumUMA permission ticket 우회에 따른 리소스 무단 접근 수정

  CVE-2026-9799와 관련해 UMA permission ticket 우회로 리소스에 허가 없이 접근할 수 있는 문제를 수정했습니다.

영향 확인 (1)

• breakingUser-Agent 헤더 형식 변경

  서버 측 로그 필터나 WAF 규칙에서 이전 문자열을 완전히 일치하도록 설정한 경우에 적용됩니다.

조치 필요 (2)

• securityhighGo v1.25.11 업데이트

  Go를 v1.25.11로 업데이트해 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

• securityGo 1.25.10 및 의존성 업데이트

  보고된 취약점을 수정하기 위해 Go를 1.25.10으로 올렸고, 다른 의존성 버전도 함께 업데이트했습니다.

조치 필요 (1)

• securityhighGo 의존성 보안 업데이트

  Go를 v1.26.4로 업데이트해 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

영향 확인 (3)

• securitymediumMySQL backend 스키마 마이그레이션 008 추가

  MySQL backend를 사용하면 적용됩니다.

• security사전 공유 키 인증의 일정 시간 비교 적용

  사전 공유 키 인증을 사용하면 적용됩니다.

• securityOIDC 발급자와 대상 설정 검증 강화

  authn.method를 oidc로 설정한 경우 적용됩니다.

조치 필요 (1)

• securitymedium빌드에 사용하는 Go 버전 업데이트

  Go 1.26.4로 OPA를 빌드하며, OPA의 HTTP 핸들러와 암호화 내장 기능이 사용하는 표준 라이브러리 코드의 취약점 GO-2026-5037과 GO-2026-5039를 수정했습니다.

조치 필요 (2)

• security툴체인 Go 버전 1.26.4로 업데이트

  툴체인의 Go 버전을 1.26.4로 올려 Go 표준 라이브러리 취약점을 수정했습니다.

• securitygrpc-health-probe v0.4.52 업데이트

  grpc-health-probe를 v0.4.52로 업데이트하고 Go 1.26.4로 다시 빌드했습니다. 이제 릴리스 이미지에 해당 Go 표준 라이브러리 취약점이 포함되지 않습니다.

조치 필요 (2)

• securityhighlodash 코드 삽입 취약점 수정

  CVE-2026-4800에 해당하는 lodash의 코드 삽입 취약점을 수정했습니다.

• securitymediumNetty HTTP/1.0 스머글링 정제 우회 수정

  CVE-2026-42581에 해당하는 Netty의 HTTP/1.0 TE+CL 공존으로 인한 스머글링 정제 우회 문제를 수정했습니다.

조치 필요 (1)

• securityTLV 기반 캐시 키 생성

  캐시 키 생성이 TLV(type-length-value) 바이너리 인코딩을 사용하도록 바뀌어 문자열 연결에서 생기던 충돌 위험을 없앴습니다. 프로세스마다 해시 시드를 다르게 적용해 hash-flooding 공격을 막도록 했습니다. 관련 변경은 #3148에 반영됐습니다.

조치 필요 (1)

• securityGHSA-84rc-2q4r-45pc 보안 권고 수정

  보안 권고 GHSA-84rc-2q4r-45pc를 수정했습니다.

조치 필요 (3)

• security보안 권고 대응을 위한 의존성 갱신

  dependencies를 보안 권고 해결을 위해 갱신했습니다.

• securityEnvFrom 정리로 비밀 이름 노출 방지

  removeContainersData에서 EnvFrom을 비워 비밀 이름이 노출되지 않도록 수정했습니다.

• security컨테이너 데이터 제거 시 Env[].ValueFrom 정리

  removeContainersData와 removeEphemeralContainersData에서 Env[].ValueFrom을 비우도록 수정했습니다.

영향 확인 (1)

• breakingjson-diff 필터 제거

  json-diff 필터를 aws.iam-access-key 정책에서 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityAzure IMDS 노드 증명 문서 검증 오류 수정

  azure_imds 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityazure_imds 노드 어테스테이션 인증서 검증 수정

  azure_imds 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitygrpc-health-probe 버전 업데이트

  여러 Go 표준 라이브러리 CVE에 대응하도록 grpc-health-probe를 v0.4.50으로 업데이트했습니다.

조치 필요 (1)

• breakinggRPC server support 제거

  gRPC server support가 제거되었습니다.

조치 필요 (1)

• securityGo 도구 모음 버전 업데이트

  표준 라이브러리 취약점에 대응하기 위해 Go 도구 모음 버전을 1.26.3으로 업데이트했습니다.