릴리스

조치 필요 (1)

• securityhighquinn-proto 보안 수정

  RUSTSEC-2026-0185에 해당하는 quinn-proto 수정이 반영됐습니다.

조치 필요 (1)

• securityGo 1.26.4 업데이트

  CVE 대응을 위해 Go 버전을 1.26.4로 올렸습니다.

조치 필요 (1)

• securityalpine 기반 이미지 버전 업데이트

  기반 이미지 alpine이 alpine:3.23.4에서 alpine:3.24.1로 업데이트되었습니다. 보안 우려에 대응하기 위한 변경입니다.

조치 필요 (1)

• security기반 이미지 alpine 버전 업데이트

  기반 이미지 alpine이 alpine:3.23.4에서 alpine:3.24.1로 올라갔습니다. 보안 우려에 대응한 변경입니다.

조치 필요 (1)

• security기반 이미지 alpine 업데이트

  보안 우려에 대응해 기반 이미지 alpine을 alpine:3.23.4에서 alpine:3.24.1로 업데이트했습니다.

영향 확인 (1)

• securityTerraform remote configuration loader의 무제한 읽기 차단

  Terraform remote configuration loader를 사용하는 경우에 적용됩니다.

영향 확인 (1)

• securityTerraform 원격 구성 로더의 비제한 읽기 차단

  Terraform 원격 구성 로더를 사용하는 경우 이 변경이 적용됩니다.

영향 확인 (3)

• securityLeaf 연결의 Nats-Trace-Dest 권한 검사 우회 수정

  Leaf 연결을 사용하는 경우에 해당합니다.

• security부분 CONNECT 패킷으로 인한 사전 인증 메모리 고갈 수정

  MQTT를 사용하는 경우에 해당합니다.

• breaking모니터링 엔드포인트의 JSONP 콜백 지원 제거

  JSONP 콜백 지원을 사용하는 경우에 해당합니다.

조치 필요 (8)

• securityhighgroup-admin의 realm-admin 권한 상승 수정

  CVE-2026-9099과 관련해 그룹 관리자 권한이 realm-admin 권한으로 상승하는 문제를 수정했습니다.

• securityhigh대소문자 무시 URI 검증 우회에 따른 XSS 수정

  CVE-2026-9086과 관련해 대소문자를 구분하지 않는 URI 검증 우회로 XSS가 발생할 수 있는 문제를 수정했습니다.

• securityhigh잘못된 scope mapping 검증에 따른 권한 상승 수정

  CVE-2026-9795와 관련해 scope mapping 적용 검증이 제대로 이뤄지지 않아 권한이 상승할 수 있는 문제를 수정했습니다.

• securityhigh잘못된 URI 비교에 따른 policy enforcer 인가 우회 수정

  CVE-2026-9800과 관련해 잘못된 URI 비교로 policy enforcer의 인가를 우회할 수 있는 문제를 수정했습니다.

• securityhighJWT 알고리즘 혼동에 따른 인증 우회 수정

  CVE-2026-11800과 관련해 JWT 알고리즘 혼동으로 인증을 우회할 수 있는 문제를 수정했습니다.

• securitymedium임의 파일 시스템 경로 탐색에 따른 정보 공개 수정

  CVE-2026-9083과 관련해 임의 파일 시스템 경로를 탐색하는 과정에서 정보가 공개될 수 있는 문제를 수정했습니다.

• securitymedium등록 액세스 토큰을 이용한 비활성 클라이언트 탈취 수정

  CVE-2026-9705와 관련해 등록 액세스 토큰으로 비활성화된 클라이언트를 다시 활성화하고 탈취할 수 있는 문제를 수정했습니다.

• securitymediumUMA permission ticket 우회에 따른 리소스 무단 접근 수정

  CVE-2026-9799와 관련해 UMA permission ticket 우회로 리소스에 허가 없이 접근할 수 있는 문제를 수정했습니다.

조치 필요 (2)

• securityhighGo v1.25.11 업데이트

  Go를 v1.25.11로 업데이트해 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

• securityGo 1.25.10 및 의존성 업데이트

  보고된 취약점을 수정하기 위해 Go를 1.25.10으로 올렸고, 다른 의존성 버전도 함께 업데이트했습니다.

조치 필요 (1)

• securityhighGo 의존성 보안 업데이트

  Go를 v1.26.4로 업데이트해 CVE-2026-27145, CVE-2026-42504, CVE-2026-42507을 수정했습니다.

조치 필요 (7)

• securityhighCVE-2026-48044 Zstd 압축 해제 중 메모리 고갈 수정

  Zstd decompressor가 입력 조각 전체를 처리한 뒤에만 MaxInflateRatio 제한을 확인해, 조작된 압축 페이로드가 한 번의 process() 호출에서 수백 MB로 확장될 수 있던 문제를 수정했습니다. 이제 내부 압축 해제 반복문에서 확장 비율을 확인하고 한도를 넘는 즉시 압축 해제를 중단합니다.

• securitymediumCVE-2026-47692 PROXY protocol 헤더 길이 불일치 수정

  통과 TLV와 추가 TLV를 함께 처리할 때 최대 길이를 초과해 헤더에 기록된 크기와 실제로 작성된 바이트 수가 달라지는 문제를 수정했습니다. 이 문제로 PROXY protocol 헤더를 작성하는 호스트가 상위 호스트로 요청을 밀반입할 수 있었습니다.

• securitymediumCVE-2026-47221 HTTP 303 내부 리디렉션 충돌 수정

  본문이 없는 요청의 HTTP 303 내부 리디렉션을 처리할 때 할당되지 않은 요청 본문 버퍼를 비우려다 세그멘테이션 오류가 발생하는 문제를 수정했습니다.

• securitymediumCVE-2026-48090 필터 해제 후 비동기 콜백 접근 수정

  필터가 해제되고 onDestroy()가 호출된 뒤에도 비동기 토큰 변경 콜백이 실행될 수 있어, 유효하지 않은 포인터에 접근하거나 충돌할 수 있던 문제를 수정했습니다.

• securitymediumCVE-2026-47778 인증서 SAN의 NUL 바이트 검증 수정

  피어 인증서의 SAN에 임베디드 NUL 바이트가 포함되면 Envoy가 SAN을 올바르게 검증하지 못할 수 있던 문제를 수정했습니다. 일부 설정에서 SAN 파싱이 NUL 바이트로 잘려 잘못된 신뢰 판단으로 이어질 수 있었습니다.

• securitymediumCVE-2026-48497 쿼리 이름 길이 검사 보완

  쿼리 이름 길이에 대한 검사를 보완해 비정상적인 프로세스 종료를 막았습니다. 검사에 실패하면 ENVOY_BUG를 사용합니다.

• securityHTTP/3 QPACK 디코딩 중 메모리 고갈 취약점 수정

  QPACK 동적 테이블 갱신을 기다리며 차단된 헤더 블록의 HEADERS 페이로드가 QUIC 수신 흐름 제어 계산에서는 해제되지만 내부 디코더 힙 버퍼에는 남아 있던 문제를 수정했습니다. 이로 인해 원격 공격자가 메모리를 제한 없이 늘려 메모리 부족 상태를 일으킬 수 있었습니다.

조치 필요 (4)

• securitymediumHTTP 303 내부 리디렉션의 요청 본문 처리 수정

  CVE-2026-47221에 해당하는 문제를 수정했습니다. 본문이 없는 요청에서 HTTP 303 내부 리디렉션을 처리할 때 할당되지 않은 요청 본문 버퍼를 비우려 해 세그멘테이션 오류가 발생하던 문제를 해결했습니다.

• securitymedium필터 해제 뒤 비동기 토큰 콜백 실행 수정

  CVE-2026-48090에 해당하는 문제를 수정했습니다. 필터가 해제된 뒤, 즉 onDestroy()가 호출된 뒤에도 비동기 토큰 변경 콜백이 실행되어 유효하지 않은 포인터를 참조하고 비정상 종료할 수 있던 문제를 해결했습니다.

• securitymedium인증서 SAN의 널 바이트 검증 수정

  CVE-2026-47778에 해당하는 문제를 수정했습니다. 피어 인증서의 주체 대체 이름에 포함된 널 바이트 때문에 일부 설정에서 이름 파싱이 중간에 잘려 잘못된 신뢰 판단으로 이어질 수 있었고, Envoy가 이를 올바르게 검증하지 못하던 문제를 해결했습니다.

• securitymedium쿼리 이름 길이 확인 수정

  CVE-2026-48497에 해당하는 문제를 수정했습니다. 쿼리 이름 길이의 정상 여부를 확인해 비정상적인 프로세스 종료를 막고, 확인에 실패하면 ENVOY_BUG를 사용하도록 했습니다.

조치 필요 (12)

• securityhighCVE-2026-47220 충돌 버그 수정

  CVE-2026-47220와 관련된 충돌 버그를 수정했습니다.

• securityhighCVE-2026-48044 메모리 고갈 취약점 수정

  CVE-2026-48044와 관련된 메모리 고갈 취약점을 수정했습니다.

• securityhighJSON 중첩 깊이 제한

  envoy.reloadable_features.limit_json_parser_nesting_depth와 관련해 JSON 중첩 깊이를 1000으로 제한했습니다.

• securitymediumCVE-2026-47692 버그 수정

  CVE-2026-47692와 관련된 버그를 수정했습니다.

• securitymediumCVE-2026-47205 메모리 재사용 충돌 수정

  CVE-2026-47205와 관련된 메모리 해제 후 재사용으로 인한 충돌을 수정했습니다.

• securitymedium필터 해제 후 비동기 토큰 콜백 호출 수정

  필터가 해제된 뒤 비동기 토큰 변경 콜백이 호출되던 버그를 수정했습니다.

• securitymedium주체 대체 이름 검증 수정

  Envoy가 주체 대체 이름(SAN)을 검증하지 못하던 문제를 수정했습니다.

• securitymediumCVE-2026-47204 충돌 및 메모리 재사용 수정

  CVE-2026-47204와 관련된 충돌 및 메모리 해제 후 재사용 문제를 수정했습니다.

• securitymedium쿼리 이름 길이 검사 수정

  쿼리 이름 길이에 대한 정상성 검사를 수정했습니다.

• securitymedium패딩 오라클 문제 해결

  패딩 오라클 문제를 해결했습니다.

• securityGHSA-p7c7-7c47-pwch 서비스 거부 취약점 수정

  GHSA-p7c7-7c47-pwch와 관련된 서비스 거부 취약점을 수정했습니다.

• breaking메시지 로그 수준 변경

  메시지를 warn 수준으로 기록합니다.

영향 확인 (2)

• securitystatic grpc auth plugin의 비밀번호 비교 방식 수정

  static grpc auth plugin을 사용하는 경우 적용됩니다.

• securitytwopcz handler의 반사 폼 값 이스케이프

  twopcz handler를 사용하는 경우 적용됩니다.

조치 필요 (16)

• securityhighcom_github_wasmtime 업데이트

  wasm에서 com_github_wasmtime을 업데이트해 CVE-2026-47261을 해결했습니다.

• securityhighREQUESTED_SERVER_NAME 충돌 수정

  REQUESTED_SERVER_NAME 처리에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47220 및 GHSA-j9wh-4qfm-wf2v입니다.

• securityhighzstd RLE 압축 폭탄 처리 수정

  zstd RLE 압축 폭탄 문제를 수정했습니다. 관련 권고는 CVE-2026-48044 및 GHSA-m3p9-47wh-88wg입니다.

• securityhigh중첩 JSON 소멸 시 스택 넘침 수정

  중첩 수준이 높은 JSON을 소멸할 때 스택이 넘치던 문제를 수정했습니다. 관련 권고는 CVE-2026-48042 및 GHSA-f24p-rxw2-g6pv입니다.

• securityhighHTTP/3에서 HTTP/1로 이어지는 요청 밀반입 수정

  0이 아닌 Content-Length를 가진 헤더 전용 요청으로 HTTP/3에서 HTTP/1 요청 밀반입이 가능하던 문제를 수정했습니다. 관련 권고는 CVE-2026-48743 및 GHSA-8phg-2h2q-jgxf입니다.

• securitymedium경로별 Authz 처리 충돌 수정

  경로별 Authz 처리에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47205 및 GHSA-mvh9-767w-x47j입니다.

• securitymedium단일 gRPC 메시지의 ext_proc 응답 처리 수정

  하나의 gRPC 메시지에 담긴 ext_proc 응답 처리 문제를 수정했습니다. 관련 권고는 CVE-2026-47207 및 GHSA-68cv-hq5f-g6xv입니다.

• securitymedium라우터 내부 리디렉션 충돌 수정

  라우터 내부 리디렉션에서 발생하던 충돌을 수정했습니다. 관련 권고는 CVE-2026-47221 및 GHSA-rcff-gw58-pjpr입니다.

• securitymediumOAuth2 코드 검증자 패딩 오라클 수정

  OAuth2 코드 검증자의 패딩 오라클 문제를 수정했습니다. 관련 권고는 CVE-2026-47775 및 GHSA-396h-jpq4-vc7p입니다.

• securitymediumgrpc_stats 필터 세그멘테이션 오류 수정

  direct_response 경로로 향하는 Connect 프로토콜 요청에서 grpc_stats 필터가 세그멘테이션 오류를 일으키던 문제를 수정했습니다. 관련 권고는 CVE-2026-47204 및 GHSA-3jxh-8p6x-7pf6입니다.

• securitymediumPROXY Protocol v2 헤더 생성기 데이터 유출 문제 수정

  PROXY Protocol v2 헤더 생성기가 "skipped" TLV를 내보내 업스트림 애플리케이션 스트림으로 공격자가 제어하는 65KB 데이터가 넘어가던 문제를 수정했습니다. 관련 권고는 CVE-2026-47692 및 GHSA-wh36-hm39-mm3r입니다.

• securitymediumTLS SAN 잘림 인증 우회 수정

  TLS SAN 잘림 과정에서 삽입된 NUL로 인증 우회가 가능하던 문제를 수정했습니다. 관련 권고는 CVE-2026-47778 및 GHSA-f8x4-rw5x-f3r7입니다.

• securitymediumOAuth2 필터의 지연된 비동기 토큰 완료 처리 수정

  스트림이 종료된 뒤 OAuth2 필터의 비동기 토큰 완료가 발생해 UAF 또는 충돌 위험을 일으키던 문제를 수정했습니다. 관련 권고는 CVE-2026-48090 및 GHSA-3cj2-c63f-q26f입니다.

• securitymediumDNS UDP 필터 비정상 종료 수정

  DNS UDP 필터에서 프로세스가 비정상적으로 종료되던 문제를 수정했습니다. 관련 권고는 CVE-2026-48497 및 GHSA-j6g2-wf95-q66q입니다.

• securitymediumTcpStatsdSink 힙 버퍼 넘침 수정

  TcpStatsdSink에서 힙 버퍼가 넘치던 문제를 수정했습니다. 관련 권고는 CVE-2026-48706 및 GHSA-7q3f-gwg7-j8g4입니다.

• securityQPACK 차단 디코딩을 이용한 HTTP/3 서비스 거부 수정

  QPACK 디코딩이 차단되는 상황을 이용한 HTTP/3 스택 서비스 거부 문제를 수정했습니다. 관련 권고는 GHSA-p7c7-7c47-pwch입니다.

조치 필요 (1)

• securityhighwasm com_github_wasmtime 의존성 갱신

  CVE-2026-47261을 해결하기 위해 wasm의 com_github_wasmtime 의존성을 올렸습니다.

조치 필요 (1)

• securityhigh중첩된 JSON 소멸 시 스택 오버플로 수정

  깊게 중첩된 JSON을 소멸할 때 발생하던 스택 오버플로를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

조치 필요 (1)

• securityhigh중첩 JSON 소멸 시 스택 오버플로 수정

  중첩이 깊은 JSON을 소멸할 때 스택 오버플로가 발생하는 문제를 수정했습니다. 관련 권고는 CVE-2026-48042와 GHSA-f24p-rxw2-g6pv입니다.

조치 필요 (2)

• security패키지 서명 검증의 TOCTOU 결함 수정

  GHSA-mf7q-r4rv-jv94로 식별된 TOCTOU 결함을 수정했습니다. 악성 OCI 레지스트리가 서명된 이미지로 검증을 통과한 뒤 설치 과정에서는 서명되지 않은 콘텐츠를 제공할 수 있던 문제입니다. v2.3에서는 해당 코드가 crossplane에서 crossplane-runtime으로 이동했기 때문에, crossplane-runtime을 v2.3.3으로 올리는 방식으로 수정이 반영됐습니다.

• securityGo 및 네트워크·시스템 라이브러리 버전 갱신

  보안 문제 대응을 위해 Go 버전을 1.25.11로 올리고 golang.org/x/net, golang.org/x/sys API 의존성을 갱신했습니다.

조치 필요 (1)

• securitycritical패키지 서명 검증 TOCTOU 문제 수정

  패키지 서명 검증 과정에서 발생하던 TOCTOU 문제를 수정했습니다. 관련 보안 권고 식별자는 GHSA-wfqx-gjrf-g28r입니다.

조치 필요 (3)

• securitygithub.com/quic-go/quic-go 모듈 버전 갱신

  github.com/quic-go/quic-go 모듈이 v0.59.1로 업데이트됐습니다. 이 변경은 보안 관련으로 표시됐습니다.

• securitygolang.org/x/net 모듈 버전 갱신

  golang.org/x/net 모듈이 v0.55.0으로 업데이트됐습니다. 이 변경은 보안 관련으로 표시됐습니다.

• securityGo 버전 1.25.11 갱신

  Go 버전이 1.25.11로 올라갔습니다. 이 변경은 보안 관련으로 표시됐습니다.

조치 필요 (2)

• securityhighGo 도구 모음 1.25.11 업데이트

  Go 도구 모음을 최신 보안 패치 버전인 1.25.11로 업데이트했습니다.

• securityMongoDB 드라이버 v1.17.7 업데이트

  go.mongodb.org/mongo-driver 모듈을 보안 업데이트 버전인 v1.17.7로 올렸습니다.

영향 확인 (5)

• securitycriticalcontainerd 보안 취약점 수정

  containerd를 사용하는 경우에 적용됩니다.

• securityhighQEMU 게스트 에이전트 소켓 권한 상승 취약점 수정

  게스트 에이전트 소켓을 사용하는 QEMU VM을 실행하는 경우에 적용됩니다.

• breaking비Linux 게스트의 containerd.user 기본값 변경

  Linux가 아닌 게스트를 실행하는 경우에 적용됩니다.

• 릴리스 페이지에 2건 더

조치 필요 (5)

• securitycriticalCVE-2026-53488 보안 수정

  CVE-2026-53488에 관한 보안 수정이 포함되었습니다.

• securityhighCVE-2026-53492 보안 수정

  CVE-2026-53492에 관한 보안 수정이 포함되었습니다.

• securityhighCVE-2026-53489 보안 수정

  CVE-2026-53489에 관한 보안 수정이 포함되었습니다.

• securitymediumCVE-2026-50195 보안 수정

  CVE-2026-50195에 관한 보안 수정이 포함되었습니다.

• securitymediumCVE-2026-47262 보안 수정

  CVE-2026-47262에 관한 보안 수정이 포함되었습니다.

조치 필요 (2)

• securitycriticalcontainerd의 CVE-2026-53488 수정

  containerd에 CVE-2026-53488 관련 수정이 반영되었습니다.

• securityhighgo-jose/go-jose/v3 버전 v3.0.5 갱신

  go-jose/go-jose/v3를 v3.0.5로 올려 GHSA-78h2-9frx-2jm8을 수정했습니다.

조치 필요 (1)

• securitycriticalcontainerd 보안 문제 수정

  containerd에서 CVE-2026-53488 보안 문제가 수정되었습니다.

조치 필요 (1)

• securitycriticalcontainerd 보안 문제 수정

  containerd에 CVE-2026-50195 관련 보안 수정이 포함되었습니다.

조치 필요 (2)

• securitycritical보안 취약점 수정

  CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262 관련 보안 취약점을 수정했습니다.

• breakingopenUserFile의 사용자 데이터베이스 파일 읽기 제한

  openUserFile에서 사용자 데이터베이스 파일 읽기를 제한합니다. 이전에 허용되던 일부 입력이 거부될 수 있습니다.

조치 필요 (2)

• securitycriticalgolang.org/x/net 및 OpenTelemetry 의존성 갱신

  golang.org/x/net을 v0.55.0으로, OpenTelemetry를 v1.43.0으로 올려 보고된 보안 권고에 대응했습니다. 관련 식별자는 GO-2026-5026, GO-2026-4918, GO-2026-4985입니다.

• securityUI 의존성을 수정된 버전으로 갱신

  UI 의존성인 react-router-dom, vitest, vite, postcss를 보안 권고가 해결된 버전으로 갱신했습니다.

조치 필요 (2)

• securityhighCVE-2026-55225 취약점 수정

  CVE-2026-55225 취약점이 수정되었습니다.

• securitymediumCVE-2026-55226 취약점 수정

  CVE-2026-55226 취약점이 수정되었습니다.

조치 필요 (1)

• securitypostgres 크레이트 의존성 업데이트

  postgres 크레이트를 RUSTSEC-2026-0178, RUSTSEC-2026-1079, RUSTSEC-2026-0180에 대응하도록 업데이트했습니다.

영향 확인 (3)

• securitymediumMySQL backend 스키마 마이그레이션 008 추가

  MySQL backend를 사용하면 적용됩니다.

• security사전 공유 키 인증의 일정 시간 비교 적용

  사전 공유 키 인증을 사용하면 적용됩니다.

• securityOIDC 발급자와 대상 설정 검증 강화

  authn.method를 oidc로 설정한 경우 적용됩니다.

조치 필요 (2)

• securityinfinispan 버전 업그레이드

  알려진 취약점에 대응하기 위해 infinispan이 ^0.12.0에서 ^0.13.0으로 업그레이드됐습니다.

• breakingjson-schema 런타임 의존성 제거

  사용되지 않는 json-schema 런타임 의존성이 제거됐습니다.

조치 필요 (1)

• securityhighgithub.com/moby/spdystream 의존성 버전 업데이트

  github.com/moby/spdystream 버전을 v0.5.0에서 v0.5.1로 올려 CVE-2026-35469와 GHSA-pc3f-x583-g7j2에 대응했습니다.

영향 확인 (3)

• security선택자가 없는 ipBlock 규칙의 네임스페이스 우회 수정

  ipBlock을 설정한 경우에 해당합니다.

• breakingloadBalancer.standalone Helm 옵션 제거

  loadBalancer.standalone을 설정한 경우에 해당합니다.

• breakingl2podAnnouncements.interface Helm 값 제거

  l2podAnnouncements.interface를 설정하고 L2 파드 알림을 활성화한 경우에 해당합니다.

조치 필요 (1)

• securitycriticalLinux 보안 결함 수정

  Linux에서 다음 보안 권고 식별자와 관련된 결함을 수정했습니다: CVE-2026-46243, CVE-2026-46244, CVE-2026-46275, CVE-2026-46315, CVE-2026-46316, CVE-2026-46321, CVE-2026-46322, CVE-2026-46323.

조치 필요 (1)

• securitycriticalgoogle.golang.org/grpc 보안 업데이트

  google.golang.org/grpc를 1.77.0에서 1.79.3으로 업데이트했습니다. gRPC-Go의 :path 헤더에서 선행 슬래시가 누락될 때 발생하는 권한 우회 문제인 CVE-2026-33186을 수정합니다.

조치 필요 (1)

• securitycriticalgRPC 의존성의 CVE-2026-33186 수정

  google.golang.org/grpc에 CVE-2026-33186 수정 사항이 반영되었습니다.

조치 필요 (1)

• securityhighazure-core>=1.38.0 버전 고정

  azure-core>=1.38.0으로 버전을 고정해 CVE-2026-21226에 대응했습니다.