릴리스

조치 필요 (6)

• securityhighHTTP/2 CONTINUATION 프레임 플러딩 서비스 거부 수정

  CVE-2026-33871과 관련된 HTTP/2 CONTINUATION 프레임 플러딩으로 인한 서비스 거부 취약점을 수정했습니다.

• securityhigh청크 확장 파싱을 이용한 HTTP 요청 밀수 수정

  CVE-2026-33870에 해당하는 RFC 위반과 청크 확장 인용 문자열 파싱을 이용한 HTTP 요청 밀수 취약점을 수정했습니다.

• securityhighbouncycastle 관련 취약점 수정

  bouncycastle와 관련된 CVE-2026-0636, CVE-2026-3505, CVE-2026-5598을 수정했습니다.

• securityhigh리디렉션 URI 검증 우회 수정

  리디렉션 URI 검증을 우회할 수 있던 CVE-2026-7504를 수정했습니다.

• securitymediumbcpkix 모듈의 취약한 암호 알고리즘 사용 수정

  CVE-2026-5588과 관련된 Bouncy Castle Crypto Package For Java의 bcpkix 모듈 내 취약하거나 위험한 암호 알고리즘 사용 문제를 수정했습니다.

• security권한 및 정책 호출 순서에 따른 클라이언트 ID 노출 수정

  권한 및 정책 호출 순서 때문에 클라이언트 ID가 노출되던 문제를 수정했습니다.

조치 필요 (1)

• securitymediumGHSA-qp9x-wp8f-qgjj 보안 문제 수정

  GHSA-qp9x-wp8f-qgjj 보안 문제를 수정했습니다.

조치 필요 (1)

• securityOPA 빌드용 Go 버전 1.26.3 업데이트

  OPA 바이너리와 이미지 빌드에 사용하는 Go 버전을 1.26.3으로 업데이트했습니다. 이번 변경은 여러 취약점을 해결합니다.

영향 확인 (3)

• breakingprotobuf content type 제거

  protobuf content type을 사용하는 경우에 적용됩니다.

• breakingsidecar 요구 사항 제거

  sidecar를 사용하는 경우에 적용됩니다.

• breaking--output 플래그 제거

  --output을 설정하는 경우에 적용됩니다.

조치 필요 (1)

• securityhighGHSA-q49m-57vm-c8cc 보안 문제 수정

  이번 릴리스에서 GHSA-q49m-57vm-c8cc와 관련된 보안 문제를 수정했습니다.

조치 필요 (1)

• breakingHTML 인덱스 페이지의 쿼리 폼 제거

  HTML 인덱스 페이지에 있던 쿼리 폼을 제거했습니다.

조치 필요 (4)

• securityhighCVE-2026-32280 완화를 위한 중간 인증서 제한

  중간 인증서 수를 제한해 CVE-2026-32280을 완화했습니다.

• securityhighGo toolchain 1.26.2 업그레이드

  CVE-2026-32283을 수정하기 위해 Go toolchain을 1.26.2로 업그레이드했습니다.

• securitymediumgo-tuf/v2 v2.4.1 업데이트

  CVE-2026-24686을 수정하기 위해 go-tuf/v2를 v2.4.1로 올렸습니다.

• securitystdlib CVE 수정

  stdlib CVE를 수정했습니다.

영향 확인 (2)

• securityaws_iid 신원 문서 검증 오류 수정

  aws_iid 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

• security조인 토큰 동시 증명 처리 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

영향 확인 (1)

• securityaws_iid 서버 노드 어테스터의 신원 문서 검증 수정

  aws_iid 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securityGo 도구 모음 버전 업데이트

  Go 표준 라이브러리 취약점에 대응하도록 도구 모음 버전을 1.26.2로 업데이트했습니다.

조치 필요 (12)

• securitycriticalCVE-2025-68121 수정

  CVE-2025-68121을 수정했습니다.

• securitycriticalCVE-2026-33186 수정

  CVE-2026-33186을 수정했습니다.

• securityhighCVE-2026-24051 수정

  CVE-2026-24051을 수정했습니다.

• securityhighgithub.com/docker/cli 업데이트

  github.com/docker/cli 의존성을 업데이트해 CVE-2025-15558을 해결했습니다.

• securityhighCVE-2025-66564 수정

  CVE-2025-66564를 해결했습니다.

• securitymediumsigstore/rekor v1.5.1 업데이트

  sigstore/rekor를 v1.5.1로 업데이트해 CVE-2026-23831을 해결했습니다.

• securitymediumgo-tuf/v2 v2.3.1 업데이트

  go-tuf/v2를 v2.3.1로 업데이트해 CVE-2026-23992를 해결했습니다.

• securitymediumCVE-2026-22772 수정

  CVE-2026-22772를 수정했습니다.

• securitymediumgo-tuf/v2 v2.4.1 업데이트

  go-tuf/v2를 v2.4.1로 업데이트해 CVE-2026-24686을 해결했습니다.

• securitylowCVE-2026-1229 수정

  릴리스 1.16에서 CVE-2026-1229를 수정했습니다.

• securitylowCVE-2026-26958 수정

  CVE-2026-26958을 수정했습니다.

• securitystdlib CVE 수정

  stdlib 관련 CVE를 수정했습니다.

조치 필요 (6)

• securitycriticalCVE-2026-33186 수정

  CVE-2026-33186 취약점을 수정했습니다.

• securityhighCVE-2026-24051 수정

  CVE-2026-24051 취약점을 수정했습니다.

• securityhighCVE-2026-34986 수정

  CVE-2026-34986 취약점을 수정했습니다.

• securitylowCVE-2026-1229 수정

  CVE-2026-1229 취약점을 수정했습니다.

• securityCVES 2026-15558 수정

  1.17에서 CVES 2026-15558 취약점을 수정했습니다.

• securitygo 업데이트로 표준 라이브러리 CVE 수정

  go 버전을 올려 표준 라이브러리의 CVE를 수정했습니다.

조치 필요 (2)

• securityGo 의존성 업데이트

  보고된 취약점이 있는 Go 의존성을 업데이트했습니다.

• securitygo 1.25.8 업데이트

  여러 보고된 취약점에 대응하도록 go를 1.25.8로 업데이트했습니다.

조치 필요 (2)

• securitymediumCVE-2026-4366 HTTP 리디렉션 처리의 SSRF 수정

  HTTP 리디렉션 처리 과정에서 발생하던 Blind Server-Side Request Forgery (SSRF) 문제를 수정했습니다. 변경 범위는 core입니다.

• securitylowCVE-2026-4633 identity-first 로그인 사용자 열거 수정

  identity-first 로그인에서 발생하던 사용자 열거 문제를 수정했습니다. 변경 범위는 core입니다.

조치 필요 (1)

• security보고된 취약점이 있는 Go 의존성 업데이트

  보고된 취약점이 있는 Go 의존성을 업데이트했습니다.

영향 확인 (2)

• securityAuthZEN 검색 메타데이터의 엔드포인트 URL 수정

  authzen.baseURL이 설정된 경우에 적용됩니다.

• security테스트용 github.com/docker/docker 패키지 교체

  테스트를 실행하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalGo 도구 체인 1.26.2 업그레이드

  공개된 보안 취약점에 대응하기 위해 Go를 1.26.2로 업그레이드했습니다. 대상은 CVE-2026-32282, CVE-2026-32289, CVE-2026-33810, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32281입니다.

조치 필요 (1)

• securitycriticalGo 1.25.9 업그레이드

  Go 버전을 1.25.9로 올려 CVE-2026-32282, CVE-2026-32289, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32281을 해결했습니다.

조치 필요 (1)

• securityGo 1.26.2 기반 빌드

  OPA 바이너리와 이미지 빌드에 사용하는 Go 버전을 1.26.2로 업데이트했습니다. 이 버전에는 여러 보안 수정 사항이 포함되어 있습니다.

조치 필요 (6)

• security비밀번호와 OTP 무차별 대입 방어 분리

  비밀번호와 OTP의 무차별 대입 방어가 분리되어 OTP 우회 공격을 기본적으로 막습니다.

• securityResourceAdminManager의 URL 생성 검증 보완

  ResourceAdminManager에서 매트릭스 매개변수 주입으로 검증되지 않은 URL을 생성할 수 있던 문제가 수정됩니다.

• security클라이언트 조회 안티 피싱 검사 보완

  클라이언트 조회 시 안티 피싱 검사가 빠져 있던 문제가 수정됩니다.

• breaking무중단 패치 릴리스 기본 활성화

  무중단 패치 릴리스가 지원 대상으로 승격되고 기본값으로 활성화됩니다.

• breaking--truststore-kubernetes-enabled 기본 활성화

  --truststore-kubernetes-enabled 동작이 기본값으로 활성화됩니다.

• breakingnot-before 검증 기본값 변경

  not-before 검증의 기본값이 0초에서 10초로 변경됩니다.

조치 필요 (1)

• securitymediumBatchCheck 정책 적용 오류 수정

  동일한 튜플에 여러 검사를 담은 BatchCheck 호출에서 정책이 잘못 적용될 수 있던 문제를 수정했습니다. 관련 보안 권고 식별자는 CVE-2026-34972입니다.

조치 필요 (1)

• securitymedium정적 파일 접근 차단 문제 수정

  CVE-2026-1002에 따라 io.vertx/vertx-core의 정적 핸들러 구성 요소 캐시를 조작해 정적 파일 접근을 막을 수 있던 문제를 수정했습니다.

영향 확인 (5)

• breakingCDH의 Go 지원 제거

  CDH를 사용한다면 적용됩니다.

• breakingCanonical TDX Tech preview 지원 중단

  Canonical TDX Tech preview를 사용한다면 적용됩니다.

• breakingUbuntu 사용 버전 요건 변경

  Ubuntu 24.04.4 (linux-image-generic-hwe-24.04) 또는 25.10을 사용한다면 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (1)

• securitygoogle.golang.org/grpc 의존성 업데이트

  스캐너가 취약점으로 보고한 내용에 대응해 google.golang.org/grpc를 업데이트했습니다. 이 취약점은 cert-manager에 영향을 주는 것으로 확인된 것은 아니지만, 스캐너 보고에 따라 의존성을 올렸습니다.

영향 확인 (1)

• breaking사용자 정의 HTTPAuthPlugin 인증 처리 위치 변경

  HTTPAuthPlugin을 직접 구현해 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securitymedium조건부 캐시 결과 오류를 일으키는 보안 취약점 수정

  Check 요청에서 조건을 사용하고 캐싱이 활성화된 경우에 적용됩니다.