릴리즈

Harbor v2.15.2는 2.15.0의 수정 사항을 백포트한 유지보수 패치입니다. 운영 관점에서 가장 영향이 큰 변경은 캐시 백엔드의 Redis to Valkey 교체이며, 기존 배포 설정을 검토해야 합니다. blob 마운트 토큰 검증 강화, 암호화 정비, Angular 21과 Clarity v18 업그레이드 이후 쌓인 UI/UX 수정도 함께 포함되었습니다.

• securityblob 마운트 토큰 검증 강화 (medium)

  blob 마운트 시 토큰 검증이 강화되어, iat 클레임이 없는 토큰과 유효하지 않은 소스 프로젝트 참조가 거부됩니다. 모든 환경에 적용됩니다.

• breaking캐시 백엔드가 Valkey로 교체됨

  캐시 백엔드가 Redis에서 Valkey로 교체되었습니다. Redis를 참조하는 배포 설정이 있다면 Valkey로 변경해야 합니다.

Harbor v2.14.4는 세션 관리 버그, 스캐너 API 오류, DockerHub 토큰 인증 문제를 수정한 패치 릴리스로, Go 1.25.9 업그레이드와 보안 의존성 패치가 포함됩니다.

• securitygo-jose 및 OTel SDK 보안 패치 포함 — 즉시 업그레이드 권장

  go-jose/go-jose와 go.opentelemetry.io/otel/sdk 패키지가 명시적으로 업데이트됐는데, 이런 경우 대부분 CVE 대응입니다. 외부 트래픽에 노출된 Harbor 인스턴스나 민감한 레지스트리 자격증명을 다루는 환경이라면 우선 적용하세요. v2.14.3에서 v2.14.4는 패치 버전 업그레이드라 호환성 위험이 낮습니다.

• breaking세션 동작 변경 — 운영 배포 전 SSO 및 장기 세션 테스트 필수

  백그라운드 탭을 열어둔 상태에서 세션이 자동 유지되던 동작이 이번 수정으로 사라집니다. 설정된 세션 타임아웃대로 만료되므로, Harbor config의 세션 만료 시간을 재확인하고 사용자에게 변경된 동작을 사전 공지한 뒤 운영 환경에 적용하세요.

• enhancementDockerHub 복제가 실패 중이라면 이 패치로 해결됩니다

  DockerHub API 변경 이후 복제 실패가 발생했다면 /v2/auth/token 엔드포인트 수정으로 해결됩니다. 업그레이드 후 DockerHub 복제 규칙을 수동으로 실행해 복제 작업 로그를 확인하세요. 자격증명 없이 배포 인스턴스를 편집할 때 발생하던 버그도 함께 수정됐으니 관련 설정도 재검증하세요.

Harbor v2.15.1은 CVE 패치, GC 작업의 Redis 자격증명 노출 수정, 세션 TTL 갱신 버그 등 보안 및 동작 오류 수정에 집중한 패치 릴리스입니다.

• securityGC 작업에서 Redis 자격증명 노출 — 즉시 업그레이드 및 비밀번호 교체 필요

  이전 버전에서는 GC 작업이 Redis URL(인증 정보 포함)을 extra attributes에 평문으로 저장했습니다. 이 데이터는 Harbor API를 통해 조회 가능하며 로그에도 남을 수 있습니다. Redis 인증을 사용 중이라면 기존에 수집된 GC 작업 메타데이터에 자격증명이 포함됐을 수 있으니, v2.15.1로 업그레이드한 뒤 Redis 비밀번호를 교체하세요.

• security베이스 이미지 CVE 패치 — 다음 스캔 주기 전에 업그레이드 권장

  Photon 베이스 이미지가 CVE 수정을 위해 업데이트됐습니다. v2.15.0을 운영 중인 환경에서는 취약점 스캐너가 기존 이미지를 계속 플래그할 겁니다. 감사 이슈로 번지기 전에 v2.15.1로 업그레이드해 두세요.

• enhancement세션 만료 동작 변경 — 유휴 사용자 로그아웃 가능성 사전 공지 필요

  UI 백그라운드 폴링이 매번 세션 TTL을 초기화하면서 실질적으로 세션이 만료되지 않는 문제가 있었습니다. 이제 설정된 유휴 시간이 지나면 세션이 정상적으로 만료됩니다. 컴플라이언스 목적으로 세션 타임아웃을 설정한 조직에는 반가운 수정이지만, 사용자들이 갑자기 로그아웃되는 상황을 겪을 수 있으니 사전에 공지하는 것이 좋습니다.

Harbor v2.15.0은 프록시 캐시 연결 제한, 엔드포인트별 CA 인증서, Cosign v3 지원과 함께 베어러 토큰 보안 취약점 수정 및 Trivy 공급망 사고 대응 업데이트를 포함합니다.

• security즉시 업그레이드 필요: Trivy 공급망 사고 및 베어러 토큰 우회 취약점

  이번 릴리스에 보안 이슈 두 건이 포함되어 있습니다. Trivy 공급망 사고로 인해 v0.69.3으로 긴급 업데이트됐으므로, 다음 스캔 실행 전에 반드시 적용해야 합니다. 베어러 토큰 수정은 프로젝트 생성 이전에 발급된 토큰을 거부하는 인가 우회 패치입니다. 두 이슈 모두 정기 유지보수를 기다리지 말고 빠르게 업그레이드하는 것을 권장합니다.

• breakingGCR 복제 어댑터 제거 — 업그레이드 전 기존 복제 규칙 마이그레이션 필수

  Google Container Registry 어댑터가 완전히 제거됐습니다. GCR을 대상으로 하는 복제 규칙이 있다면 업그레이드 후 조용히 실패하게 됩니다. v2.15.0 업그레이드 전에 해당 규칙을 Artifact Registry(GAR) 엔드포인트로 전환하세요. GCR을 바라보는 프록시 캐시 프로젝트도 동일하게 재구성이 필요합니다.

• enhancement프록시 캐시 업스트림 연결 수 제한으로 레이트 리밋 충돌 방지

  새로운 `max_upstream_conn` 파라미터로 프록시 캐시 프로젝트별 아웃바운드 연결 수를 조절할 수 있습니다. Docker Hub처럼 레이트 리밋이 있는 레지스트리나 자체 호스팅 레지스트리를 풀스루 캐시로 사용 중이라면, 업그레이드 후 UI나 API로 프로젝트별 연결 수를 적절히 설정하세요.

Harbor v2.13.5는 더 엄격한 bearer 토큰 검증과 감사 로그에서 민감한 설정 데이터 제거를 통해 보안을 강화했습니다.

• securityBearer 토큰 보안 강화로 인한 기존 통합 검토 필요

  프로젝트 생성 이전에 발급된 bearer 토큰을 거부하게 되어 기존 통합에서 문제가 발생할 수 있습니다. Harbor를 인증하는 CI/CD 파이프라인과 자동화 스크립트를 점검하여 업그레이드 후 토큰을 재생성하도록 설정하세요.

• enhancement감사 로그 정리로 보안 태세 개선

  설정 payload가 더 이상 감사 로그에 기록되지 않아 민감한 설정 노출이 줄어들었습니다. 로그 모니터링과 컴플라이언스 프로세스를 검토하여 로그의 설정 데이터에 의존하지 않고도 필요한 보안 이벤트를 계속 포착할 수 있는지 확인하세요.

• enhancement업데이트된 Trivy로 최신 취약점 정의 제공

  Trivy v0.69.3에는 새로운 취약점 데이터베이스와 탐지 규칙이 포함되어 있습니다. 컨테이너 이미지를 다시 스캔하여 이전 스캔에서 감지되지 않은 새로 발견된 취약점을 식별하세요.

Harbor v2.14.3은 bearer 토큰 검증 관련 중요한 보안 수정사항과 Trivy 스캐너 0.69.3 버전 업데이트를 제공하여 인증 메커니즘을 강화하고 취약점 탐지 기능을 최신 상태로 유지합니다.

• securitybearer 토큰 수정을 위해 즉시 업데이트

  Harbor가 프로젝트 생성 전에 발급된 bearer 토큰을 허용하는 보안 결함을 수정했습니다. 토큰 기반 인증을 사용한다면 무단 프로젝트 접근을 막기 위해 v2.14.3을 즉시 배포하세요.

• enhancement업데이트된 Trivy 스캐닝 활용

  Trivy v0.69.3에는 최신 취약점 데이터베이스와 탐지 기능이 포함되어 있습니다. 업그레이드 후 중요한 이미지들을 재스캔하여 이전 버전에서 놓쳤던 새로운 취약점을 찾아보세요.

• enhancement감사 로그 구성 검토 필요

  자격 증명 노출을 막기 위해 구성 감사 로그에서 민감한 페이로드 데이터가 제거되었습니다. 이 변경 후에도 로그 모니터링 도구가 필요한 보안 이벤트를 여전히 캡처하는지 확인하세요.