릴리스

조치 필요 (8)

• securityhighgroup-admin의 realm-admin 권한 상승 수정

  CVE-2026-9099과 관련해 그룹 관리자 권한이 realm-admin 권한으로 상승하는 문제를 수정했습니다.

• securityhigh대소문자 무시 URI 검증 우회에 따른 XSS 수정

  CVE-2026-9086과 관련해 대소문자를 구분하지 않는 URI 검증 우회로 XSS가 발생할 수 있는 문제를 수정했습니다.

• securityhigh잘못된 scope mapping 검증에 따른 권한 상승 수정

  CVE-2026-9795와 관련해 scope mapping 적용 검증이 제대로 이뤄지지 않아 권한이 상승할 수 있는 문제를 수정했습니다.

• securityhigh잘못된 URI 비교에 따른 policy enforcer 인가 우회 수정

  CVE-2026-9800과 관련해 잘못된 URI 비교로 policy enforcer의 인가를 우회할 수 있는 문제를 수정했습니다.

• securityhighJWT 알고리즘 혼동에 따른 인증 우회 수정

  CVE-2026-11800과 관련해 JWT 알고리즘 혼동으로 인증을 우회할 수 있는 문제를 수정했습니다.

• securitymedium임의 파일 시스템 경로 탐색에 따른 정보 공개 수정

  CVE-2026-9083과 관련해 임의 파일 시스템 경로를 탐색하는 과정에서 정보가 공개될 수 있는 문제를 수정했습니다.

• securitymedium등록 액세스 토큰을 이용한 비활성 클라이언트 탈취 수정

  CVE-2026-9705와 관련해 등록 액세스 토큰으로 비활성화된 클라이언트를 다시 활성화하고 탈취할 수 있는 문제를 수정했습니다.

• securitymediumUMA permission ticket 우회에 따른 리소스 무단 접근 수정

  CVE-2026-9799와 관련해 UMA permission ticket 우회로 리소스에 허가 없이 접근할 수 있는 문제를 수정했습니다.

조치 필요 (2)

• securityhighGo v1.25.11 업데이트

  Go를 v1.25.11로 업데이트해 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

• securityGo 1.25.10 및 의존성 업데이트

  보고된 취약점을 수정하기 위해 Go를 1.25.10으로 올렸고, 다른 의존성 버전도 함께 업데이트했습니다.

조치 필요 (1)

• securityhighGo 의존성 보안 업데이트

  Go를 v1.26.4로 업데이트해 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

영향 확인 (3)

• securitymediumMySQL backend 스키마 마이그레이션 008 추가

  MySQL backend를 사용하면 적용됩니다.

• security사전 공유 키 인증의 일정 시간 비교 적용

  사전 공유 키 인증을 사용하면 적용됩니다.

• securityOIDC 발급자와 대상 설정 검증 강화

  authn.method를 oidc로 설정한 경우 적용됩니다.

조치 필요 (1)

• securitymedium빌드에 사용하는 Go 버전 업데이트

  Go 1.26.4로 OPA를 빌드하며, OPA의 HTTP 핸들러와 암호화 내장 기능이 사용하는 표준 라이브러리 코드의 취약점 GO-2026-5037과 GO-2026-5039를 수정했습니다.

조치 필요 (2)

• security툴체인 Go 버전 1.26.4로 업데이트

  툴체인의 Go 버전을 1.26.4로 올려 Go 표준 라이브러리 취약점을 수정했습니다.

• securitygrpc-health-probe v0.4.52 업데이트

  grpc-health-probe를 v0.4.52로 업데이트하고 Go 1.26.4로 다시 빌드했습니다. 이제 릴리스 이미지에 해당 Go 표준 라이브러리 취약점이 포함되지 않습니다.

조치 필요 (2)

• securityhighlodash 코드 삽입 취약점 수정

  CVE-2026-4800에 해당하는 lodash의 코드 삽입 취약점을 수정했습니다.

• securitymediumNetty HTTP/1.0 스머글링 정제 우회 수정

  CVE-2026-42581에 해당하는 Netty의 HTTP/1.0 TE+CL 공존으로 인한 스머글링 정제 우회 문제를 수정했습니다.

조치 필요 (1)

• securityTLV 기반 캐시 키 생성

  캐시 키 생성이 TLV(type-length-value) 바이너리 인코딩을 사용하도록 바뀌어 문자열 연결에서 생기던 충돌 위험을 없앴습니다. 프로세스마다 해시 시드를 다르게 적용해 hash-flooding 공격을 막도록 했습니다. 관련 변경은 #3148에 반영됐습니다.