릴리스

조치 필요 (1)

• securitycritical바이너리와 이미지 빌드용 Go 버전 업데이트

  OPA 바이너리와 이미지 빌드에 사용하는 Go 버전이 1.25.7로 변경됐습니다. 이 버전의 Go 표준 라이브러리에는 GO-2026-4337 수정이 포함됩니다.

조치 필요 (7)

• securitygolang.org/x/crypto v0.45.0 업데이트

  보안 수정으로 golang.org/x/crypto가 v0.45.0으로 업데이트되었습니다.

• securitygithub.com/go-chi/chi/v5 v5.2.4 업데이트

  보안 수정으로 github.com/go-chi/chi/v5가 v5.2.4로 업데이트되었습니다.

• securitygithub.com/sigstore/cosign/v3 v3.0.4 업데이트

  보안 수정으로 github.com/sigstore/cosign/v3가 v3.0.4로 업데이트되었습니다.

• securitygithub.com/theupdateframework/go-tuf/v2 v2.4.1 업데이트

  보안 수정으로 github.com/theupdateframework/go-tuf/v2가 v2.4.1로 업데이트되었습니다.

• securitygithub.com/sigstore/rekor v1.5.0 업데이트

  보안 수정으로 github.com/sigstore/rekor가 v1.5.0으로 업데이트되었습니다.

• securitygithub.com/sigstore/sigstore v1.10.4 업데이트

  보안 수정으로 github.com/sigstore/sigstore가 v1.10.4로 업데이트되었습니다.

• securitygithub.com/quic-go/quic-go v0.57.0 업데이트

  보안 수정으로 github.com/quic-go/quic-go가 v0.57.0으로 업데이트되었습니다.

영향 확인 (7)

• breakingcatalogProcessingExtensionPoint의 안정 내보내기 이동

  카탈로그에 사용자 정의 프로세서와 엔터티 제공자를 등록할 때 catalogProcessingExtensionPoint를 사용하는 경우에 적용됩니다.

• breakingAPI 재정의가 오류로 거부됨

  적용 대상이 릴리스 노트에 명시되지 않았습니다.

• breakingauth.experimentalDynamicClientRegistration.tokenExpiration 설정 제거

  auth.experimentalDynamicClientRegistration.tokenExpiration을 설정한 경우에 적용됩니다.

• 릴리스 페이지에 4건 더

조치 필요 (1)

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  Go 주석과 C/C++ 주석을 다르게 해석하던 문제로 생성된 cgo 바이너리에 코드를 몰래 삽입할 수 있던 CVE-2025-61732 취약점을 수정했습니다.

조치 필요 (2)

• securitycriticalcrypto/tls 세션 재개 검증 문제 수정

  CVE-2025-68121과 관련해 crypto/tls 세션 재개 과정에서, 초기 핸드셰이크와 재개된 핸드셰이크 사이에 ClientCAs 또는 RootCAs가 변경되면 실패해야 하는 핸드셰이크가 성공하던 문제가 수정됐습니다.

• securityhighcgo 바이너리 코드 삽입 취약점 수정

  CVE-2025-61732과 관련해 Go 및 C/C++ 주석을 해석하는 방식의 차이로 생성된 cgo 바이너리에 코드를 끼워 넣을 수 있던 문제가 수정됐습니다.

조치 필요 (1)

• breakingistiod의 GOMEMLIMIT 자동 설정

  istiod가 automemlimit 라이브러리를 사용해 메모리 제한의 90%를 GOMEMLIMIT으로 자동 설정합니다. 메모리 제한 초과로 프로세스가 종료될 위험을 줄이면서 성능을 유지합니다.

조치 필요 (1)

• breakingtopology.kubernetes.io 레이블의 기본 제외 설정

  기본값으로 topology.kubernetes.io 레이블을 보안 레이블에서 제외합니다.

조치 필요 (2)

• securityhighgo 1.24.13 기반 바이너리 컴파일

  바이너리를 go 1.24.13으로 컴파일합니다. 관련 식별자는 CVE-2025-61726, CVE-2025-61731, CVE-2025-61732, GHSA-8jvr-vh7g-f8gx, GHSA-gm9r-q53w-2gh4, GHSA-xvqr-69v8-f3gv입니다.

• securitymediumgolang.org/x/crypto 0.45.0 업데이트

  golang.org/x/crypto를 0.45.0으로 올려 CVE-2025-47914와 CVE-2025-58181에 대응했습니다.

조치 필요 (1)

• securityhighgo 1.24.13 기반 바이너리 컴파일

  바이너리를 go 1.24.13으로 컴파일하도록 변경되었습니다. CVE-2025-61726, CVE-2025-61731, CVE-2025-61732와 연결된 보안 수정 및 GHSA-gm9r-q53w-2gh4, GHSA-xvqr-69v8-f3gv, GHSA-8jvr-vh7g-f8gx 권고가 포함됩니다.

조치 필요 (1)

• securityhighGo 도구 모음을 go 1.24.13으로 업데이트

  Go 도구 모음이 go 1.24.13으로 업데이트되었습니다. 이 변경은 CVE-2025-61726, CVE-2025-61731, CVE-2025-61732 및 대응하는 GHSA-8jvr-vh7g-f8gx, GHSA-gm9r-q53w-2gh4, GHSA-xvqr-69v8-f3gv 권고와 관련된 수정 사항을 반영합니다.

조치 필요 (1)

• securityhighGo 도구 모음 버전 갱신

  보안과 관련된 Go 도구 모음 의존성을 1.24.13으로 올렸습니다.

영향 확인 (1)

• breakingReceive 셔플 샤딩에 일관 해싱 적용

  Receive를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securitycriticalgo 버전 1.25.7 업데이트

  도구 모음의 go 버전을 1.25.7로 업데이트해 CVE-2025-68121에 대응했습니다.

영향 확인 (1)

• breakingSchedulerAsyncAPICalls 기능 게이트 비활성화

  SchedulerAsyncAPICalls 기능 게이트를 사용하는 경우에 적용됩니다.

조치 필요 (1)

• securityOpenTelemetry SDK 업그레이드

  이전 버전의 취약점인 SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758에 대응하기 위해 otel/sdk를 v1.40.0으로 업그레이드했습니다.

조치 필요 (1)

• security리소스 주석의 줄바꿈 및 제어 문자 검증 수정

  리소스 주석 검증이 줄바꿈과 제어 문자를 거부하도록 수정했습니다. 템플릿 렌더링으로 Pod 사양에 컨테이너를 삽입하는 경로를 차단합니다. (Issue #58889)

조치 필요 (4)

• securityhighCVE-2026-1609 비활성화 사용자 토큰 발급 문제 수정

  비활성화된 사용자도 JWT Authorization Grant를 이용해 토큰을 발급받을 수 있던 문제가 수정됐습니다.

• securityhighCVE-2026-1529 위조 초대 JWT를 이용한 조직 간 가입 문제 수정

  위조된 초대 JWT로 조직 간 자체 가입이 가능했던 문제가 수정됐습니다.

• securityhighCVE-2026-1486 비활성화된 ID 제공자 인증 우회 문제 수정

  JWT Authorization Grant의 논리 우회로 비활성화된 ID 제공자를 통한 인증이 가능했던 문제가 수정됐습니다.

• securitymediumCVE-2025-14778 /uma-policy/ 소유권 확인 문제 수정

  /uma-policy/에서 소유권 확인이 잘못 처리되던 문제가 수정됐습니다.

조치 필요 (1)

• breaking사용되지 않는 protofromtraces 래퍼 제거

  v1adapter에서 더 이상 사용되지 않는 protofromtraces 래퍼를 제거했습니다.

영향 확인 (1)

• breakingtrace/metric storage의 backend type 단일 구성 제한

  trace 또는 metric storage를 둘 이상의 backend type으로 구성한 경우에 적용됩니다.

조치 필요 (1)

• breaking불필요한 nodes/proxy RBAC 권한 활성화 제거

  불필요한 nodes/proxy RBAC 권한을 활성화하던 설정이 제거되었습니다.

조치 필요 (1)

• breaking컴포넌트 사양 기능 제거

  component spec 기능을 제거했습니다.

조치 필요 (1)

• securitygolang.org/x/crypto 버전 상향

  release-23.0에서 golang.org/x/crypto 의존성을 0.42.0에서 0.45.0으로 올렸습니다.

조치 필요 (1)

• security버전 처리와 injection 문제 수정

  버전 처리와 injection 문제를 수정했습니다.