릴리스

조치 필요 (2)

• securityDocker 의존성의 Moby 의존성 이전

  CVE를 해결하기 위해 github.com/docker/docker 의존성을 github.com/moby/moby에 해당하는 의존성으로 이전했습니다. (#7078)

• breaking에이전트 상태 확인 호출의 RPC 메트릭 제거

  에이전트 상태 확인 루프의 루프백 호출에서는 더 이상 RPC 메트릭을 내보내지 않습니다. 메트릭 잡음도 줄어듭니다. (#6929)

영향 확인 (1)

• securityAzure IMDS 노드 증명 문서 검증 오류 수정

  azure_imds 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

  azure_imds 서버 노드 증명 플러그인에서 PKCS7 인증서 묶음의 첫 인증서를 신뢰할 수 있는 Azure 루트에 연결하면서, 실제 서명은 PKCS7의 SignerInfo에서 찾은 별도 인증서로 검증하던 오류를 수정했습니다. 공격자가 인증서 묶음에 정상적인 Azure 메타데이터 인증서와 무관한 인증서로 서명한 내용을 함께 넣으면 위조된 증명 문서가 받아들여져, 노드 증명 과정에서 임의의 가상 머신으로 가장할 수 있었습니다.

영향 확인 (1)

• securityazure_imds 노드 어테스테이션 인증서 검증 수정

  azure_imds 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

  azure_imds 서버 노드 어테스터 플러그인에서 증명 문서의 인증서 검증 방식을 바로잡았습니다. 이전에는 PKCS7 인증서 묶음의 첫 인증서를 신뢰할 수 있는 Azure 루트에 연결하면서, 서명은 PKCS7 SignerInfo에서 별도로 찾은 서명자 인증서로 확인했습니다. 공격자가 인증서 묶음에 정상적인 Azure 메타데이터 인증서를 넣고 다른 인증서로 서명한 내용을 함께 보내면 위조된 증명 문서가 승인될 수 있었으며, 이제 이 경로를 차단합니다.

영향 확인 (2)

• securityaws_iid 신원 문서 검증 오류 수정

  aws_iid 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

  aws_iid 플러그인의 RSA-2048 PKCS7 증명 경로가 내장된 콘텐츠의 서명은 검증하면서도, 공격자가 조작할 수 있는 별도 필드에서 신원 문서를 읽던 오류를 수정했습니다. 이 오류로 공격자가 자신이 제어하는 EC2 인스턴스를 다른 EC2 인스턴스로 가장할 수 있었고, 이후의 증명 결정도 위조된 신원을 기준으로 처리됐습니다.

• security조인 토큰 동시 증명 처리 수정

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

  조인 토큰 데이터 저장소 경로에서 같은 토큰을 동시에 사용하는 증명이 모두 성공할 수 있던 TOCTOU 오류를 수정했습니다. tx.Delete()가 삭제된 행이 없을 때 이를 알리지 않던 문제를 해결하고, 행 잠금이 포함된 읽기, 수정, 쓰기 트랜잭션으로 정확히 하나의 행이 삭제됐는지 확인합니다.

영향 확인 (1)

• securityaws_iid 서버 노드 어테스터의 신원 문서 검증 수정

  aws_iid 서버 노드 어테스터 플러그인을 사용하는 경우에 적용됩니다.

  RSA-2048 PKCS7 증명 경로가 서명은 증명 데이터에 포함된 내용으로 확인하면서도, 신원 문서는 공격자가 조작할 수 있는 별도 필드에서 읽던 문제를 수정했습니다. 이 문제로 임의의 EC2 인스턴스를 제어한 공격자가 노드 증명 과정에서 다른 EC2 인스턴스를 가장할 수 있었고, 이후 증명 판단도 위조된 신원 정보를 사용했습니다.

조치 필요 (1)

• securitycriticalGo 도구 체인 1.26.2 업그레이드

  공개된 보안 취약점에 대응하기 위해 Go를 1.26.2로 업그레이드했습니다. 대상은 CVE-2026-32282, CVE-2026-32289, CVE-2026-33810, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32281입니다.

조치 필요 (1)

• securitycriticalGo 1.25.9 업그레이드

  Go 버전을 1.25.9로 올려 CVE-2026-32282, CVE-2026-32289, CVE-2026-27144, CVE-2026-27143, CVE-2026-32288, CVE-2026-32283, CVE-2026-27140, CVE-2026-32281을 해결했습니다.

조치 필요 (1)

• security에이전트 수준 선택자 기록 중단

  민감한 정보가 유출될 가능성을 막기 위해 에이전트 수준에서 선택자를 더 이상 기록하지 않습니다. (#6732)

영향 확인 (2)

• securityhttp_challenge의 SSRF 취약점 수정

  http_challenge를 사용하는 경우에 적용됩니다.

  공격자가 서버를 평소 접근할 수 없는 도메인으로 유도할 수 있었습니다. spire-server는 해당 도메인에 인증 없이 GET 요청을 보내고, 응답의 처음 64바이트를 공격자에게 반환했습니다.

• securityx509pop의 CPU 고갈 취약점 수정

  x509pop을 사용하는 경우에 적용됩니다.

  공격자가 노드 증명 과정에서 spire-server의 CPU 사용량을 과도하게 늘릴 수 있던 문제를 수정했습니다.

영향 확인 (2)

• securityhttp_challenge 플러그인의 SSRF 공격 문제 수정

  http_challenge 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

  공격자가 서버를 평소에는 접근할 수 없는 도메인으로 돌려 SSRF 공격을 수행할 수 있던 문제를 수정했습니다. spire-server가 해당 도메인에 인증 없이 GET 요청을 보내고 응답의 처음 64바이트를 공격자에게 반환할 수 있었습니다.

• securityx509pop 플러그인의 CPU 과다 사용 문제 수정

  x509pop 서버 노드 증명 플러그인을 사용하는 경우에 적용됩니다.

  노드 증명 과정에서 공격자가 spire-server의 CPU 시간을 과도하게 소비하게 만들 수 있던 문제를 수정했습니다.