CNCF graduated·incubating 프로젝트 릴리즈 노트의 AI 분석.
순수 보안 패치 릴리스입니다. Go 런타임을 1.23.9로 올리고 취약한 의존성을 갱신했으며, 기능 변경은 없습니다.
cert-manager 팀은 모든 사용자에게 업그레이드를 권고하고 있습니다. 변경 내용이 Go 런타임 및 의존성 버전 업 에만 한정되어 있어 기능적 위험 없이 교체할 수 있습니다. v1.19.x를 운영 중이라면 별도 마이그레이션 절차 없이 바로 적용하면 됩니다. Helm, 정적 매니페스트, OperatorHub 등 배포 방식에 맞춰 전체 클러스터에 롤아웃하세요. 업그레이드를 미루면 알려진 취약점이 있는 Go 패키지를 계속 실행하는 셈입니다.
Kubescape v4.0.5는 Go 버전 업그레이드와 의존성 범프만 포함한 순수 유지보수 릴리스입니다. 신규 기능이나 버그 수정은 없습니다.
Go 버전 업그레이드는 net/http, crypto 등 표준 라이브러리의 취약점을 함께 수정하는 경우가 많습니다. Kubescape를 클러스터 내 컴포넌트로 운영하거나 CI 파이프라인에서 사용 중이라면 이번 버전으로 교체하세요. 'kubescape version'으로 현재 버전을 확인한 후 바이너리 또는 컨테이너 이미지 태그를 갱신하면 됩니다. 변경 범위가 작아 업그레이드 리스크는 낮습니다.
CI/CD 보안 스캔 파이프라인에서 Kubescape 버전을 고정해 사용 중이라면 v4.0.5로 업데이트하세요. SCA 도구가 스캔 툴 자체의 의존성 최신화 여부를 감사 항목으로 체크하는 조직이라면 특히 해당됩니다.
v4.0.4는 gRPC, go-git, cloudflare/circl, go-jose, hashicorp/go-getter 등 보안 관련 라이브러리 업데이트와 CLI 버그 수정 위주의 의존성 관리 릴리스입니다.
hashicorp/go-getter, cloudflare/circl, go-jose, go-git는 경로 순회, 암호화 취약점, JWT 공격 등의 CVE 이력이 있는 라이브러리입니다. 릴리스 노트에 특정 CVE가 명시되지는 않았지만, go-getter의 1.7.9 → 1.8.6, go-git의 5.16.5 → 5.17.1처럼 버전 차이가 큰 업데이트가 포함돼 있습니다. CI 파이프라인이나 자동화 스캔 환경에서 Kubescape를 운영 중이라면 정기 유지보수 주기를 기다리지 말고 지금 바로 v4.0.4로 업데이트하세요.
Helm SDK가 3.20.2로 올라가면서 최신 Helm 차트 스캔 결과의 정확도가 높아집니다. 최신 Helm 기능을 쓰는 클러스터를 운영 중이라면, 이전 Kubescape 버전에서 스캔 결과가 불완전했을 수 있습니다. 업그레이드 후 차트 레벨 스캔을 다시 실행해 커버리지를 확인하세요.
kubescape scan image에 플래그를 명시적으로 전달하는 셸 스크립트나 CI 설정이 있다면, 기존의 중복 플래그 버그로 인해 플래그가 무시되거나 예상치 못한 동작이 발생했을 수 있습니다. 업그레이드 후 파이프라인 호출 결과가 기대값과 일치하는지 검증하세요.
26.6.1은 블라인드 SSRF와 사용자 열거 CVE 두 건을 수정한 보안 패치입니다. 26.6.0 업그레이드 시 커스텀 인증 플로우가 깨지던 치명적 마이그레이션 버그도 함께 수정됐습니다.
CVE-2026-4366은 HTTP 리다이렉트 처리 과정의 블라인드 SSRF로, Keycloak이 내부 서비스에 접근 가능한 환경이라면 실질적인 위협입니다. CVE-2026-4633은 identity-first 로그인에서 사용자 존재 여부가 노출되어 크리덴셜 스터핑 공격에 악용될 수 있습니다. 즉시 26.6.1로 업그레이드하세요. 업그레이드가 당장 불가하다면 CVE-2026-4633 임시 완화책으로 identity-first 로그인 비활성화를 검토하세요.
26.6.0의 MigrateTo26_6_0 스크립트가 커스텀 브라우저 플로우를 잘못 수정해 릴름 인증을 조용히 망가뜨리는 버그가 있었습니다. 26.6.0 업그레이드 후 로그인 오류나 비정상 플로우 동작을 겪었다면 이 버그가 원인입니다. 26.6.1로 업그레이드하면 마이그레이션 로직은 수정되지만, 이미 손상된 플로우는 수동으로 복구해야 할 수 있습니다. 운영 환경 업그레이드 전 반드시 커스텀 인증 플로우를 점검하세요.
26.6.0에서 @keycloak/keycloak-admin-client(JS)와 Java 어드민 클라이언트 모두 패키징 오류로 설치 또는 동기화가 불가능했습니다. 파이프라인이나 애플리케이션에서 26.6.0을 핀닝하고 있다면 현재 동작하지 않을 가능성이 높습니다. 의존성 버전을 26.6.1로 업데이트하세요.
webhook.config와 webhook.volumes를 동시에 설정할 때 발생하는 Helm 차트 YAML 생성 버그를 수정하고, 취약점 해소를 위해 Go 1.26.2로 업그레이드한 패치 릴리스입니다.
Go 런타임과 의존성을 보고된 취약점 해소 목적으로 업데이트했습니다. 릴리스 노트에 구체적인 CVE ID가 명시되진 않았지만, cert-manager는 클러스터 내 인증서 발급을 담당하는 특권적 위치에 있는 컴포넌트입니다. 보안 패치는 미루지 않는 게 좋습니다.
Helm values에 webhook.config와 webhook.volumes를 모두 설정한 환경이라면, 지금까지 잘못된 YAML이 생성됐을 가능성이 높습니다. 웹훅이 의도와 다른 설정으로 배포됐을 수 있으므로, v1.20.2로 업그레이드하고 재배포한 뒤 웹훅 파드의 볼륨 마운트와 설정이 정상인지 반드시 확인하세요.
v1.14.1은 AuthZEN 디스커버리의 호스트 헤더 포이즈닝 취약점을 패치하고 취약한 Docker 의존성을 제거했습니다. ListObjects 성능도 소폭 개선됐습니다.
AuthZEN의 well-known 디스커버리 엔드포인트가 요청의 Host 헤더로 URL을 구성하고 있었습니다. 공격자가 이를 악용하면 클라이언트를 악성 엔드포인트로 유도할 수 있었습니다. AuthZEN 디스커버리 메타데이터를 외부에 노출하고 있다면 v1.14.1로 즉시 업그레이드하세요. 별도 설정 변경은 불필요하지만, 서버 설정의 authzen.baseURL이 올바르게 지정되어 있는지 확인하는 것이 좋습니다.
github.com/docker/docker 패키지는 알려진 CVE가 있으며 테스트 코드에서만 사용됐습니다. 프로덕션 빌드 자체는 영향이 없지만, 파이프라인에서 테스트 바이너리나 vendor 디렉터리를 컨테이너 이미지에 포함하는 경우 업그레이드 후 취약한 패키지가 제거됐는지 확인하세요.
새로 추가된 셧다운 타임아웃 옵션으로 OpenFGA가 종료 전 진행 중인 요청을 얼마나 기다릴지 제어할 수 있습니다. 설정이 없으면 파드 재시작 시 요청 오류가 발생할 수 있습니다. Kubernetes의 terminationGracePeriodSeconds보다 약간 짧게 설정해 두면 안전한 트래픽 전환이 가능합니다.
Falco 0.43.1은 libs를 0.23.2로, 컨테이너 플러그인을 0.6.4로 올린 최소 패치 릴리스입니다. 기능 변경이나 버그 수정은 없습니다.
이번 릴리스의 실질적 이유는 컨테이너 플러그인 0.6.4와 libs 0.23.2 동반 반영입니다. Falco 룰에서 컨테이너 메타데이터 보강 기능을 활용 중이라면 컨테이너 플러그인 0.6.4 릴리스 노트를 먼저 확인하세요. 그렇지 않다면 0.43.0에서의 업그레이드는 위험 부담이 낮고, 긴급하게 적용할 필요는 없습니다.
Keycloak 26.6.0은 JWT Authorization Grant, Federated Client Auth, Workflows, 무중단 패치 릴리스를 정식 지원으로 격상하면서, UMA·SCIM·Organizations 관련 보안 버그 다수를 수정했습니다.
SCIM에서 IDOR 방식의 리소스 수정 및 그룹 관리 권한 우회가 가능했던 두 가지 버그가 수정됐습니다. UMA 권한 부여는 만료된 ID 토큰이나 다른 클라이언트용 토큰을 수락하는 문제도 함께 고쳐졌습니다. SCIM이나 UMA를 사용 중이라면 즉시 26.6.0으로 업그레이드하세요. 별도 설정 변경은 불필요하지만, 사용 중인 SCIM 플러그인/익스텐션이 새 유효성 검사와 호환되는지 확인하세요.
시크릿 매니저 등에서 $ 문자가 포함된 패스워드를 환경변수로 주입할 경우, KC_ 프리픽스는 SmallRye 표현식 평가로 값을 묵시적으로 변조합니다. KC_<KEY> 대신 KCRAW_<KEY>를 사용하면 값이 그대로 유지됩니다. 업그레이드 전에 기존 환경변수를 전수 점검하세요. ${ 또는 $$ 패턴이 포함된 시크릿은 이전 버전에서 이미 깨져 있을 수 있습니다.
무중단 패치 릴리스가 기본 활성화됐습니다. Operator로 Keycloak을 운영 중이라면 업데이트 전략을 명시적으로 Auto로 설정하세요. 아울러 새로 도입된 HTTP Graceful Shutdown 기본값(지연 1초, 타임아웃 1초)을 검토하고, 리버스 프록시의 연결 드레이닝이 더 길게 걸리는 환경(특히 비-Kubernetes 환경이나 장기 연결 사용 구성)에서는 해당 값을 늘려 설정하세요.
v1.14.0은 ListObjects의 잠재적 데드락을 수정하고, 교집합 알고리즘 성능을 개선하며, BatchCheck 캐싱을 추가합니다. PostgreSQL 사용자에게 영향을 주는 SQL 직렬화 버그도 함께 수정됩니다.
TupleOperation 직렬화 버그와 pgx.ErrNoRows 오류 처리 문제는 PostgreSQL 환경에서 데이터 불일치나 잘못된 오류 처리로 이어질 수 있습니다. Postgres 기반으로 OpenFGA를 운영 중이라면 이 수정 사항만으로도 업그레이드 이유가 충분합니다. 업그레이드 후 튜플 쓰기/읽기 동작을 반드시 검증하세요.
릴리스 노트에 CVE-2026-33729가 명시적으로 언급됩니다. 마이너 릴리스에 CVE 업데이트가 포함된 경우 즉각 대응이 필요합니다. CVE 세부 내용이 공개되기 전에 v1.14.0으로 업그레이드하고, 배포 환경의 노출 범위를 점검하세요.
ListObjects 파이프라인의 데드락은 실제 프로덕션 부하에서만 나타나는 유형의 버그입니다. ListObjects를 대량으로, 특히 동시 호출 환경에서 사용하고 있다면 이 수정이 필수적입니다. 업그레이드 후 실제 동시성 패턴으로 ListObjects 스트레스 테스트를 실행해 안정성을 확인하세요.
튜플이나 조건이 겹치는 BatchCheck를 반복 호출하는 경우, 새 캐싱 레이어가 레이턴시와 백엔드 부하를 낮춰줄 겁니다. 별도 설정 변경 없이 자동 적용되는 것으로 보이지만, 새로 추가된 튜플 이터레이터 쿼리 통계를 활용해 실제 환경에서 개선 효과를 모니터링하세요.
26.5.7은 권한 상승, 리다이렉트 URI 우회, 비인가 교차 사용자 권한 부여 등 7개 CVE를 수정한 긴급 보안 릴리스입니다. 즉시 업그레이드하십시오.
이번 릴리스에서 7개의 CVE가 수정됩니다. 권한 상승(CVE-2026-4282), 리다이렉트 URI 우회(CVE-2026-3872), 교차 사용자 권한 인젝션(CVE-2026-4636), 비인증 DoS(CVE-2026-4634)까지 공격 범위가 넓습니다. 특히 UMA 정책을 쓰거나 Admin REST API를 외부에 노출하는 환경이라면 긴급 패치로 취급해야 합니다. 변경 관리 프로세스를 최대한 단축해 26.5.7로 업그레이드하십시오.
CVE-2025-14083(Admin API 정보 노출)과 CVE-2026-4636(UMA 교차 사용자 권한 부여)은 엔드포인트 접근 제어가 제대로 적용되지 않았음을 보여줍니다. 업그레이드 후 Admin REST API에 접근 가능한 클라이언트와 서비스 계정을 점검하고, UMA 리소스 및 정책 정의에서 비정상적인 권한 부여 내역이 없는지 확인하십시오. 패치만으로는 이미 잘못 구성된 접근 경로를 닫을 수 없습니다.
Quarkus 런타임 업그레이드로 CVE-2026-1002(vertx-core 정적 파일 핸들러 캐시 조작 DoS)도 함께 수정됩니다. 커스텀 테마를 사용하거나 Keycloak을 통해 정적 콘텐츠를 제공한다면, 업그레이드 후 자산이 정상적으로 로드되는지 확인하십시오. Quarkus 마이너 버전 업그레이드는 기본 설정이 바뀌는 경우가 있으므로 로그인 플로우 스모크 테스트를 한 번 돌려보는 것이 좋습니다.
v1.20.1은 OpenShift 업그레이드 차단 버그, Gateway API의 parentRef 중복 문제, gRPC 의존성 버전 업을 처리한 패치 릴리스입니다.
보고된 CVE는 cert-manager의 실제 코드 경로에 영향을 주지 않습니다. 다만 Trivy, Grype 같은 스캐너가 v1.20.0을 플래그하고 있었다면 v1.20.1로 업그레이드하면 해소됩니다. 긴급성은 낮지만, 파이프라인 노이즈를 줄이고 싶다면 업그레이드할 이유는 충분합니다.
v1.20.0에서 order 컨트롤러의 ClusterRole에 issuer finalizer 권한이 빠진 채로 릴리스됐습니다. OpenShift는 RBAC 검증이 엄격해 이 문제가 업그레이드 자체를 막았습니다. v1.20.0 적용을 보류 중이었다면 v1.20.1로 직행하세요. 이미 v1.20.0을 적용했다면 업그레이드 후 order 컨트롤러의 ClusterRole에 finalizer 권한이 정상 포함됐는지 확인하세요.
issuer config와 어노테이션 양쪽에 parentRef를 지정한 설정에서 v1.20.0은 중복된 parentRef 항목을 생성했습니다. 게이트웨이 구현체에 따라 예측 불가한 동작이 발생할 수 있습니다. v1.20.1로 업그레이드한 뒤, 두 방식을 동시에 쓰던 Certificate 리소스들을 점검해 중복이 제거됐는지 확인하세요.
OPA v1.15.0은 파일 로테이션을 지원하는 플러그인 로깅 시스템을 추가하고, 커스텀 HTTPAuthPlugin 동작 방식을 변경하며, AWS Web Identity 자격 증명 지원을 확장했습니다.
커스텀 HTTPAuthPlugin을 구현한 경우, NewClient()는 이제 Client 인스턴스당 한 번만 호출됩니다. 요청 카운터, 트랜스포트 래핑, 로깅 등 요청별 로직이 NewClient()에 있다면 조용히 오동작하게 됩니다. 업그레이드 전에 플러그인 코드를 검토하고 모든 요청별 로직을 Prepare()로 옮겨야 합니다. OPA 내장 플러그인은 이미 수정되었으므로 커스텀 플러그인을 운영하는 팀만 영향을 받습니다.
새로운 file_logger 플러그인은 구조화된 JSON 로그를 자동 로테이션과 함께 기록하며, server.logger_plugin 하나의 설정 블록으로 런타임 로그와 결정 로그를 모두 처리합니다. 현재 OPA stdout을 tailing하거나 외부 로그 shipper로 파이핑하고 있다면, 파일 로거로 전환해 운영 복잡도를 낮출 수 있습니다. HTTP 번들 엔드포인트 없이도 결정 로그를 안정적으로 수집할 수 있어 저지연 환경에 적합합니다.
EKS에서 IRSA(IAM Roles for Service Accounts)를 사용하는 경우, Web Identity 토큰을 Assume Role 자격 증명 플로우에 직접 쓸 수 있게 됐습니다. 기존에 인스턴스 프로파일 자격 증명이나 수동 토큰 주입으로 우회하던 방식을 정리하고, REST 플러그인 AWS 서명 설정에서 web identity 프로바이더를 사용하도록 업데이트하면 됩니다.
OpenFGA v1.13.0은 AuthZen v1.0 표준 지원, Check v1/v2 캐시 분리, 리졸버 패닉 처리 강화를 주요 변경사항으로 담았습니다.
파이프라인 기본 리졸버에서 처리되지 않은 패닉이 발생하면 OpenFGA 프로세스 전체가 종료될 수 있었습니다. 이번 수정으로 패닉이 에러로 변환되어 서버가 계속 실행됩니다. 복잡한 권한 그래프 평가 중 OpenFGA가 예기치 않게 재시작되는 문제를 겪었다면 바로 이 원인입니다. 가용성에 직접 영향을 주는 수정이므로 빠른 업그레이드를 권장합니다.
기존에는 Check v1과 v2가 캐시를 공유했는데, 이제 완전히 분리됩니다. 두 API 버전을 동시에 사용하는 환경이라면 전체 캐시 히트율이 낮아지거나 메모리 사용 패턴이 달라질 수 있습니다. 업그레이드 후 캐시 용량 설정을 재확인하고, 모니터링 대시보드에서 캐시 히트율 지표를 주의 깊게 살펴보세요.
AuthZen v1.0은 CNCF 생태계 전반의 권한 부여 API 상호운용 표준으로 자리잡는 중입니다. 여러 정책 엔진을 연동하거나 멀티 시스템 권한 부여 레이어를 구성 중이라면, 이번 릴리스에서 새로운 AuthZen 엔드포인트를 먼저 테스트해 보세요. 지금 도입하면 나중에 구조를 뜯어고치지 않아도 생태계 방향과 자연스럽게 맞춰집니다.
v1.12.1은 OTLP 엔드포인트 URI 파싱 버그를 수정하고, ListObjects 파이프라인 내부를 Go 네이티브 채널로 교체한 유지보수 릴리스입니다.
OTEL_EXPORTER_OTLP_ENDPOINT에 https:// 스킴을 사용하면 trace.otlp.tls.enabled 값과 무관하게 TLS가 활성화됩니다. 업그레이드 전에 옵저버빌리티 설정을 점검하세요. https:// 엔드포인트를 쓰면서 TLS를 명시적으로 비활성화해뒀던 환경이라면, 이제 TLS가 켜지므로 콜렉터 쪽도 TLS 연결을 받을 수 있는지 확인해야 합니다.
기존에는 http://host:4317 형태의 URI를 그대로 넣으면 gRPC 익스포터에 스킴이 그대로 전달돼 오류가 발생했습니다. 스킴을 생략하는 식으로 우회하고 있었다면, 이제 표준 URI 형식을 그대로 써도 됩니다. 배포 설정에서 우회 로직을 제거하고 표준 형식으로 정리하세요.
커스텀 Pipe를 Go 네이티브 채널로 대체하면서 ListObjects의 동시 처리 성능이 개선됐습니다. API나 설정 변경은 없습니다. 튜플 검증 로직 리팩터링 효과까지 더해져, ListObjects를 대량으로 호출하는 환경이라면 이번 패치를 적용할 이유가 충분합니다.
Keycloak 26.5.6은 SSRF, 토큰 재사용, IDOR, 권한 상승 등 8개 CVE를 패치하는 긴급 보안 릴리스입니다. 즉시 업그레이드가 필요합니다.
SSRF, 토큰 재생, 권한 상승, IDOR, 다중 정보 노출 경로를 포함한 8개 CVE가 수정되었습니다. 특히 jwks_uri 경유 SSRF, manage-clients 권한 상승, 인증 세션 오염은 멀티테넌트 또는 외부 노출 환경에서 매우 위험합니다. 별도의 완화 방법은 없으며 업그레이드가 유일한 해결책입니다. 26.x 버전을 운영 중이라면 긴급 패치로 처리하세요.
CVE-2026-3121(manage-clients 권한 상승)과 CVE-2026-1180(동적 클라이언트 등록의 jwks_uri SSRF)은 현재 권한 설정과 기능 활성화 여부를 함께 검토해야 합니다. 업그레이드 후 manage-clients를 보유한 사용자·서비스 계정을 감사하세요. OIDC 동적 클라이언트 등록을 사용하지 않는다면 렐름 단위에서 비활성화해 SSRF 공격면을 완전히 제거하세요.
26.5.0에서 도입된 Operator의 DB targetServerType=primary 미적용 문제(마스터-레플리카 페일오버 시 연결 검증 실패)와 26.5.4에서 발생한 O(N²) 시작 스캔 회귀가 모두 수정되었습니다. 해당 버그를 경험했다면 업그레이드 후 DB 페일오버 동작과 시작 시간을 반드시 확인하세요. 렐름이 많은 대규모 환경에서는 재시작 속도가 눈에 띄게 빨라질 겁니다.
AWS 리소스 12종 신규 추가, EKS/Elasticsearch 업그레이드 가능 여부 필터, Azure Entra ID 리소스, GCP Vertex AI 지원이 포함된 대규모 기능 릴리스입니다. S3 캐시 오염, GuardDuty 검증 오류, IAM 사용자 오류 등 주요 버그도 수정됐습니다.
upgrade-available 필터를 활용하면 신규 버전이 존재하는 클러스터를 정책으로 자동 탐지할 수 있습니다. 지금까지 버전 컴플라이언스를 수동으로 확인했다면, 이 필터를 적용한 정책으로 교체하고 결과를 알림 또는 태깅으로 연결하세요. 지원 종료 일정이 다가오는 클러스터가 있다면 지금이 적기입니다.
삭제된 IAM 주체가 cross-account 정책에서 반복적으로 위반으로 잡혔다면, whitelist_patterns 파라미터로 해당 ARN 패턴을 제외할 수 있습니다. 기존 cross-account 정책을 검토해 결과에 자주 등장하는 삭제된 계정이나 서비스 연결 역할의 패턴을 추가하세요.
conditional-access-policy, authorization-policy, named-location, security-defaults 네 가지 Entra ID 리소스가 새로 추가됐습니다. Azure 보안 기준선을 관리한다면, 보안 기본값 활성화 여부와 조건부 액세스 정책이 조직 요구사항에 맞는지 확인하는 정책을 작성하세요. 기존에는 별도 도구가 필요했던 영역이 c7n으로 통합됩니다.
v1.14.3은 SPIFFE 인증서 체인 검증을 우회할 수 있는 TLS 세션 티켓 취약점을 패치하고, 노드 캐시 재구축 버그와 AWS·페더레이션 관련 안정성 문제를 수정했습니다.
SPIRE 서버 TCP 엔드포인트에서 TLS 세션 재개 시 SPIFFE 인증서 체인 검증이 생략될 수 있었습니다. 만료되거나 폐기된 인증서를 가진 클라이언트가 현재 신뢰 번들 검증 없이 재연결할 수 있는 신뢰 경계 위반입니다. v1.14.3으로 즉시 업그레이드하세요. 서버 측에서 자동으로 세션 티켓을 비활성화하므로 별도 설정 변경은 필요 없습니다.
셀렉터에는 Kubernetes 파드 레이블, Unix UID, AWS 메타데이터 등 민감한 워크로드 식별 정보가 포함될 수 있습니다. 업그레이드 후에는 에이전트 로그에 더 이상 기록되지 않지만, 기존 로그 파이프라인과 보존 정책을 점검해 과거 로그에 남아 있는 데이터를 확인하세요.
RequirePQKEM TLS 정책을 활성화한 경우, 알고리즘이 초안 x25519Kyber768Draft00에서 표준 X25519MLKEM768로 변경됩니다. 양쪽 피어 모두 v1.14.3 이상이어야 TLS 핸드셰이크가 성공합니다. 에이전트와 서버를 동시에 업그레이드하는 일정을 조율하세요.
노드 캐시 재구축이 시작 후 단 1회만 실행되고 이후에는 중단되는 버그가 있었습니다. 워크로드 변경이 잦은 환경에서는 에이전트가 오래된 캐시 데이터를 계속 제공하게 됩니다. v1.14.3에서 자동 수정되며 별도 설정 변경 없이 업그레이드만 하면 됩니다. 동적 환경일수록 에이전트 업그레이드를 서두르세요.
v4.0.3은 소규모 패치 릴리스로, 에어갭 환경을 위한 --grype-db-url 플래그 추가, 호스트 누락 시 에러 미반환 버그 수정, 의존성 업데이트가 주요 변경 사항입니다.
go-git 패치 릴리스에는 git 프로토콜 파싱 관련 취약점 수정이 포함되는 경우가 많습니다. go-git v5.16.5 변경 로그에서 CVE 수정 여부를 직접 확인하고, git 저장소 스캔이나 Kubescape를 라이브러리로 임베딩하여 사용 중이라면 업그레이드를 서두르세요.
이전 버전에서는 스캔 대상에 호스트 정보가 없을 때 nil을 반환해 에러가 무시됐습니다. 이 동작에 의존해 exit code 0을 성공으로 처리하던 파이프라인이 있다면, 업그레이드 후 기존에 묻혔던 실패가 표면에 드러날 수 있습니다. 업그레이드 전에 스캔 워크플로우의 에러 처리를 반드시 검토하세요.
인터넷 직접 접근이 불가한 환경에서 Kubescape를 운영 중이라면, --grype-db-url 플래그로 내부 Grype DB 미러를 지정할 수 있습니다. 기존에 환경 변수 패치나 우회 방법을 쓰고 있었다면 CI 파이프라인이나 오퍼레이터 설정에 이 플래그를 적용하는 편이 깔끔합니다.
OpenFGA v1.12.0은 자동 TLS 인증서 회전, 강화된 입력 검증, 중요한 경쟁 조건 수정으로 운영 안정성을 개선했습니다.
이번 릴리스는 두 개의 Go 표준 라이브러리 취약점(GO-2026-4603, GO-2026-4601)을 해결합니다. 프로덕션 배포에서 이러한 보안 위험을 제거하기 위해 업그레이드를 계획하세요.
현재 메시지 크기를 검토하고 새로운 설정 옵션을 사용해 적절한 제한을 설정하여 리소스 고갈 공격을 방지하고 시스템 안정성을 개선하세요.
cert-manager 같은 인증서 회전 도구를 사용 중이라면 이번 릴리스로 인증서 업데이트 중 연결 실패가 해결됩니다. 업그레이드 후 인증서 회전 프로세스를 테스트해 개선 사항을 확인하세요.
cert-manager v1.20.0에서 Gateway API ListenerSet 지원, Azure Private DNS 통합, OtherNames 베타 승격과 함께 여러 ACME 및 DNS 관련 버그를 수정했습니다.
잘못된 DNS 응답으로 컨트롤러 서비스 거부 공격이 가능한 보안 이슈가 수정됐습니다. cert-manager 컨트롤러가 신뢰할 수 없는 DNS 서버나 DNS 트래픽 조작 가능한 네트워크에 노출된 경우 즉시 업데이트하세요.
기본 컨테이너 사용자가 UID 1000에서 65532로, 그룹이 GID 0에서 65532로 변경됐습니다. 이 값들을 하드코딩했거나 루트 그룹 접근에 의존하는 경우 파드 보안 정책, 보안 컨텍스트, 파일 권한을 검토하세요.
새로운 Azure Private DNS 지원으로 프라이빗 존에서 DNS-01 챌린지가 가능해졌습니다. DNS 레코드를 공개하지 않고 내부 서비스용 인증서를 관리하려면 Azure DNS issuer에 프라이빗 존 설정을 구성하세요.
OPA v1.14.1은 정책 검색 실패를 유발하던 규칙 인덱서 변경사항을 되돌리고 플러그인 매니저 교착상태를 수정한 패치 릴리스입니다.
Go 1.26.1과 알려진 취약점을 패치한 업데이트된 의존성이 포함되어 있습니다. 특히 운영 환경에서 OPA를 사용한다면 정기 보안 유지보수 일정에 맞춰 이 업그레이드를 진행하세요.
v1.14.0의 규칙 인덱서 변경사항이 일부 설정에서 정책 검색 실패를 야기합니다. 안정적인 정책 평가를 위해 v1.14.1로 배포하세요. 최적화 기능은 v1.15.0에서 적절한 수정과 함께 다시 제공될 예정입니다.
교착상태 수정으로 설정 작업 중 발생하던 간헐적 정지 현상이 해결됩니다. 플러그인 설정 과정에서 원인 불명의 OPA 정지를 경험했다면 이 릴리스로 문제가 해결될 것입니다.
Keycloak 26.5.5는 운영 환경에서 인증 우회와 무단 접근을 허용할 수 있는 4개의 SAML 브로커 취약점을 해결한 중요 보안 릴리스입니다.
이 CVE들은 SAML 브로커 구성에 영향을 주며 인증 우회를 허용할 수 있습니다. SAML ID 제공자나 브로커 기능을 사용한다면 긴급 유지보수를 예약해 즉시 업그레이드하세요. 업그레이드 후 비활성화된 SAML 제공자들이 제대로 보안되었는지 검토하세요.
업그레이드 후 비활성화된 SAML ID 제공자가 실제로 비활성화되어 인증 요청을 처리할 수 없는지 확인하세요. IdP 시작 로그인 플로우를 점검하고 SAML 어설션의 암호화가 올바르게 작동하는지 검증하세요.
SPIRE v1.14.2는 서버 노드 증명 플러그인의 SSRF 공격과 CPU 고갈을 일으킬 수 있는 두 가지 심각한 보안 취약점을 해결했습니다.
http_challenge나 x509pop 증명자를 사용하는 SPIRE 서버에 두 가지 보안 문제가 있습니다. SSRF 취약점으로 공격자가 서버를 무단 도메인으로 리다이렉트하고 응답 데이터를 추출할 수 있으며, x509pop DoS 취약점으로 CPU 고갈 공격이 가능합니다. 해당 증명 플러그인을 사용한다면 v1.14.2로 즉시 업데이트하세요.
SPIRE v1.13.4는 노드 증명 플러그인에서 SSRF 공격과 CPU 고갈 공격을 가능하게 하는 두 가지 중대한 보안 취약점을 수정했습니다.
노드 증명 보안에 영향을 주는 두 가지 심각한 취약점이 발견되었습니다. http_challenge 플러그인의 SSRF 결함은 공격자가 내부 네트워크를 탐지할 수 있게 하고, x509pop 플러그인은 DoS 공격에 악용될 수 있습니다. v1.13.4로 즉시 업데이트하고 최근 증명 로그에서 의심스러운 활동을 감사하세요.
http_challenge 또는 x509pop 증명기 플러그인을 사용하는 경우, 네트워크 보안 제어를 검증하고 업그레이드가 완료될 때까지 노드 증명 엔드포인트에 임시 제한을 고려하세요. 증명 프로세스 중 CPU 사용량 패턴을 모니터링하세요.
OPA v1.14.0은 변수 할당과 'x in {...}' 표현식에 대한 규칙 인덱싱 개선과 H2C Unix 도메인 소켓 지원, 향상된 테스트 출력, 다양한 성능 최적화를 제공합니다.
변수 할당과 멤버십 표현식에 대한 향상된 규칙 인덱싱은 'x := input.role; x in {"admin", "user"}' 같은 패턴을 사용하는 정책의 성능을 자동으로 개선합니다. 기존 정책을 검토하여 코드 변경 없이도 이 최적화의 혜택을 받을 수 있는 유사한 패턴을 식별하세요.
컨테이너화된 환경에서 OPA를 실행하거나 안전한 로컬 IPC가 필요한 경우, Unix 도메인 소켓과 함께 새로운 '--h2c' 플래그를 사용하세요. 이는 네트워크 오버헤드를 줄이고 로컬 서비스 간 통신 패턴의 보안을 향상시킵니다.
새로운 커스텀 스토리지 백엔드 등록 API는 특수 스토리지 시스템과의 통합을 가능하게 합니다. 특히 고성능이나 컴플라이언스 특화 스토리지 요구사항에 대해 현재 스토리지 요구사항이 커스텀 백엔드의 혜택을 받을 수 있는지 평가하세요.
cert-manager v1.18.6은 CVE-2025-68121을 해결하기 위한 Go 런타임 업데이트를 포함한 보안 중심 패치 릴리스로, 인증서 관리 운영에는 기능적 변경사항이 없습니다.
이번 릴리스는 cert-manager 보안에 영향을 줄 수 있는 Go 런타임 취약점(CVE-2025-68121)을 패치합니다. 설정 변경 없이 바로 교체 가능하므로 표준 유지보수 기간 내에 업그레이드를 계획하세요. 비프로덕션 환경에서 먼저 테스트한 후 프로덕션 클러스터에 배포하세요.
기능적 변경사항 없이 순수 보안 패치이므로 기존 배포 프로세스를 사용하여 안심하고 업그레이드할 수 있습니다. 완전한 하위 호환성을 유지하므로 추가 테스트 오버헤드 없이 자동화된 배포 파이프라인에 적합합니다.
OpenFGA v1.11.6는 성능 향상을 위해 ListObjects 파이프라인을 기본 활성화하고, gRPC 클라이언트 구현을 업그레이드하며, grpc-health-probe의 보안 취약점을 해결합니다.
OpenFGA 배포에서 헬스 체크를 위해 grpc-health-probe를 사용하고 있다면, 이 업데이트가 CVE-2025-68121을 해결합니다. 컨테이너 이미지가 최신 버전을 가져오는지 확인하고 독립형 grpc-health-probe 바이너리를 업데이트하세요.
새로운 기본 ListObjects 파이프라인 알고리즘이 쿼리 성능을 향상시킬 수 있지만 동작이 변경될 수 있습니다. 업그레이드 후 ListObjects API 호출을 모니터링하고, 문제 발생 시 listObjects-pipeline-enabled=false로 비활성화할 준비를 하세요.
Keycloak 26.5.4는 SAML 취약점과 권한 부여 우회 문제를 포함한 5개의 CVE를 해결하는 중요한 보안 패치 릴리스입니다. 성능 개선과 클러스터 안정성 수정 사항을 포함합니다.
이 릴리스는 권한 부여 우회와 DoS 취약점을 포함한 5개의 CVE를 수정합니다. SAML 구성과 Docker 레지스트리 프로토콜 사용을 검토하세요. 특히 SAML 브로커링이나 Docker 레지스트리 통합을 사용하는 경우 다음 유지보수 기간에 즉시 업그레이드를 예약하세요.
CVE 수정으로 인증되지 않은 엔드포인트에서의 클라이언트 시크릿 공개 문제가 해결되었습니다. 업그레이드 후 클라이언트 구성을 감사하고 잠재적으로 노출된 시크릿을 교체하세요. 무단 구성 엔드포인트 접근에 대한 액세스 로그를 검토하세요.
새로운 세션 ID 키 선호도와 개선된 캐싱으로 클러스터 배포에서 성능이 향상됩니다. 업그레이드 후 로그인 페이지 응답 시간과 클러스터 안정성을 모니터링하세요. 데이터베이스 쿼리 감소와 더 나은 로드 분산을 확인할 수 있습니다.
v1.17.1은 CVE 패치, 컨트롤러 패닉/크래시, 레이스 컨디션, 이미지 검증 오류 등 운영 환경에서 조용히 문제를 일으킬 수 있는 버그들을 집중적으로 수정한 패치 릴리스입니다.
이번 릴리스에서 CVE-2025-68121이 수정됩니다. 릴리스 노트에 상세 내용이 공개되지 않았지만, 어드미션 컨트롤러에서 발생한 CVE는 그 범위와 무관하게 즉각 대응이 필요합니다. v1.17.0을 사용 중이라면 다음 유지보수 창을 기다리지 말고 지금 바로 업그레이드하세요.
정책 exclusion 블록에 빈 목록을 넣으면 아무것도 제외하지 않는 대신 모든 리소스를 제외하던 버그가 수정됩니다. ClusterPolicy나 Policy에 exclusion 블록이 있다면 지금 바로 검토하세요. 만약 이 잘못된 동작에 의존하고 있었다면, 업그레이드 후 기존에 스킵되던 리소스들이 갑자기 평가 대상이 될 수 있습니다.
두 가지 ivpol 수정이 함께 적용됩니다. TSACertChain을 제공할 때 서명 타임스탬프 검증이 정상적으로 활성화되고, 백그라운드 리포트 스캔 시 Kyverno 네임스페이스의 프라이빗 레지스트리 시크릿이 올바르게 사용됩니다. 백그라운드 스캔에서 검증 실패가 반복되거나 TSA 기반 서명 정책이 제대로 동작하지 않았다면, 업그레이드 후 리포트 스캔을 다시 실행해 결과를 확인하세요.
Notation v1.3.2는 golang-jwt의 CVE-2025-30204를 수정한 보안 패치로, 1.3 브랜치에 백포트된 릴리스입니다.
CVE-2025-30204는 golang-jwt의 JWT 검증 우회 취약점입니다. Notation 1.3.x 버전을 사용 중이라면 지금 바로 v1.3.2로 올려야 합니다. 이번 패치 릴리스의 존재 이유가 바로 이 취약점 하나입니다. v1.4 이상을 사용 중이더라도, 해당 버전에 이미 수정이 포함되어 있는지 반드시 확인하세요.
아직 최신 메이저 버전으로 전환하지 못한 팀이라면 v1.3.2는 부담 없이 적용할 수 있습니다. 변경 범위가 JWT 의존성 업데이트와 소소한 정리에 국한되어 있어 동작 변화 없이 기존 1.3.x 환경에 그대로 교체할 수 있습니다.
