CNCF graduated·incubating 프로젝트 릴리즈 노트의 AI 분석.
Litmus 3.31.0은 프로브 비교자, GraphQL 메모리 누수, 파일 핸들러, 사용자 인증 등 9가지 주요 버그를 고친 정기 유지보수 릴리스입니다. 파괴적 변경이나 보안 이슈는 없습니다.
Envoy v1.39.0은 keyUsage 강제 필수화, DLB 밸런서 비활성화, TLS inspector 검증 강화, OTel 샘플링 동작 변경 등 여러 주요 변경 사항과, HTTP/2, HTTP/3, ext_authz, ext_proc, OAuth2, DNS 등 여러 하위 시스템에 걸친 약 20건의 medium 등급 CVE 수정을 함께 담은 대규모 릴리스입니다. dynamic modules 확장 포인트와 AI 프로토콜용 스트리밍 JSON 파서 등 비조치성 기능 및 성능 개선도 다수 포함되어 있습니다.
이번 릴리스는 HTTP/2, HTTP/3, ext_authz, ext_proc, gRPC stats, 내부 리다이렉트, OAuth2, DNS, JSON 파싱, PROXY 프로토콜, 포매터, StatsD, TLS SAN 처리, Zstd 압축 해제에 걸쳐 약 20건의 CVE를 수정했으며, 릴리스 노트 기준 모두 medium 등급입니다. 대표적으로 HTTP/2 cookie 기반 헤더 제한 우회(CVE-2026-47774), HTTP/3 QPACK 블로킹 디코딩 DoS(GHSA-p7c7-7c47-pwch), Zstd 압축 해제 시 메모리 고갈(CVE-2026-48044)이 있습니다. 수정 사항은 v1.39.0에 포함됩니다.
OAuth2에 CVE-2026-47775 대응을 위한 AES-256-GCM 쿠키 암호화가 추가되었습니다. 마이그레이션은 선택적으로 진행되며, oauth2_use_gcm_encryption을 활성화하고 oauth_legacy_cbc_decrypt 지표를 모니터링한 뒤, 레거시 복호화가 더 이상 관측되지 않으면 oauth2_legacy_cbc_decrypt_compat을 비활성화하는 단계로 이뤄집니다.
Envoy는 인증서의 keyUsage 확장을 항상 강제하도록 바뀌었고, enforce_rsa_key_usage 필드는 지원 중단되어 무시됩니다. v1.39.0부터 무조건 적용되므로, 느슨한 검증에 의존하던 인증서는 검증에 실패할 수 있습니다.
Intel DLB 커넥션 밸런서(envoy.network.connection_balance.dlb)는 소스 아카이브 손상으로 모든 빌드에서 비활성화되었습니다. 이 확장을 사용하는 환경에 해당합니다.
TLS inspector가 클라이언트 TLS 버전이 1.0에서 1.3 사이인지 검증하며, 범위를 벗어나면 거부합니다. v1.39.0에서는 무조건 적용되지만 envoy.reloadable_features.tls_inspector_enforce_client_tls_version으로 되돌릴 수 있습니다.
OpenTelemetry 트레이서가 전파된 트레이스 컨텍스트나 설정된 샘플러가 샘플링을 요청하더라도, overall_sampling을 포함한 Envoy 자체의 요청 단위 샘플링 결정을 우선하도록 바뀌었습니다. 다운스트림이나 컨텍스트 기반 샘플링 결정이 Envoy 설정보다 우선되는 것에 의존하던 환경에 해당하며, 내보내는 스팬 수가 줄어들 수 있습니다.
Backstage v1.53.0은 SSE MCP 전송 제거, config-loader 타입 검증 강화, OAuth 리다이렉트 URI 검증 강화, OpenAPI 도구 전환(Optic → oasdiff) 등 다수의 주요 변경을 포함한 기능 릴리스입니다. 보안 수정은 없으나 7개의 주요 breaking change가 있으므로 마이그레이션이 필요합니다. 동시에 13개 이상의 버그 수정과 Breadcrumbs 프레임워크 추가, CIMD 구성 안정화 등의 개선사항이 포함되어 있습니다.
SSE 기반 MCP 전송이 제거되었습니다. `@backstage/plugin-mcp-actions-backend`를 사용 중이라면 스트리밍 엔드포인트 기반 구현으로 마이그레이션하세요.
TypeScript로 선언된 구성 스키마가 이제 `@backstage/config-loader`에서 임포트된 타입을 검증합니다. 이전에는 검증되지 않던 타입이 로드 실패를 일으킬 수 있으므로, 스키마의 타입 임포트를 확인하세요.
`@backstage/plugin-auth-backend`의 OAuth 리다이렉트 URI 검증이 더 엄격해졌습니다. 와일드카드가 호스트와 경로 경계를 넘지 않으며, `http://localhost:*`는 이제 루트 경로만 매칭합니다. 모든 경로를 허용하려면 `http://localhost:*/*`로 변경하세요. 임베드된 자격증명을 포함한 리다이렉트 URI는 거부됩니다.
Catalog 플러그인의 `EntityContextMenuItemBlueprint` API가 변경되었습니다. 렌더링된 MUI 요소 대신 메뉴 항목 데이터를 출력하며, `icon` 타입이 `IconElement`로 변경되었습니다. 해당 API를 사용 중이라면 코드를 업데이트하세요.
`@backstage/cli-common`에서 `bootstrapEnvProxyAgents`가 제거되었으며 `global-agent` 및 `undici` 의존성이 삭제되었습니다. 수동으로 프록시 에이전트를 부트스트랩하려면 `NODE_USE_ENV_PROXY` 환경 변수를 사용하세요.
`@backstage/repo-tools`에서 Optic이 oasdiff로 대체되었습니다. OpenAPI 주요 변경 감지 스크립트가 oasdiff를 사용하도록 업데이트하세요.
`package schema openapi init`, `repo schema openapi test` 명령과 `wrapInOpenApiTestServer` 함수가 제거되었습니다. 런타임 검증은 `@backstage/backend-openapi-utils/testUtils`의 `wrapServer`로 대체되어 있습니다.
Flux v2.9.2는 v2.9.1에서 도입된 회귀를 고친 루틴 패치로, openapi.path가 URL을 가리킬 때 Kustomization 재조정이 실패하던 문제를 해결하고 여러 CRD 설명을 정정했습니다.
Dapr v1.16.17은 Scheduler 서비스가 액터 리마인더와 예약 작업 이름을 검증할 때 불필요하게 엄격하던 기준을 완화하는 버그 수정 릴리스입니다. 실제 사용 가능한 문자 범위를 API의 다른 부분과 일치시켰으며, 기존 코드와의 호환성에는 영향이 없습니다.
Kyverno v1.18.2는 생성기 정책의 namespace 경계 강제 HIGH 등급 취약점(GHSA-79gf-7frw-68m9)을 수정한 보안 패치입니다. 보안 의존성 업데이트와 여러 버그 수정을 함께 포함하고 있습니다.
생성기 정책에서 namespace 경계 강제가 제대로 작동하지 않아 정책이 다른 네임스페이스의 리소스를 생성할 수 있었습니다. v1.18.2로 업그레이드하세요.
보안 관련 의존성이 업데이트되었습니다. 최신 패치를 적용하세요.
CoreDNS v1.14.5는 DoH/DoH3 전송, Forward 구성, dnstap/file/secondary/transfer 견고성을 개선한 유지보수 릴리스입니다. TLS 기본값, DoQ 타임아웃 처리, Per-upstream 읽기 타임아웃 설정 등 세 가지 동작 변경이 포함되므로 업그레이드 전에 구성을 확인하세요.
Go의 기본 TLS 설정으로 변경됩니다. 기존에 커스텀 TLS 구성에 의존했다면 동작을 확인하세요.
DoQ 스트림 읽기가 서버 읽기 타임아웃으로 제한됩니다. DoQ를 사용 중이면 읽기 타임아웃 설정을 검토하세요.
Forward 플러그인이 설정 파일이 비어 있을 때 계속 진행하도록 복구되었습니다. 이전에 오류 동작에 의존했다면 설정을 재검토하세요.
containerd v2.3.3은 CRI 샌드박스 처리, NRI, 이미지 배포, EROFS 블록 정렬을 다루는 버그 수정 패치입니다. 보안 취약점이나 주요 API 변경은 없습니다.
containerd v2.2.6은 CRI 계층의 포드 샌드박스 생명주기 처리 문제와 포인터 역참조 버그, 이미지 배포 캐시 오염을 다룬 루틴 패치입니다. 운영자 개입이 필요한 변경은 없습니다.
containerd v1.7.34는 컨테이너 종료 이벤트가 손실될 수 있던 CRI 버그를 수정한 정기 패치 릴리스입니다. Go 도구 체인과 표준 라이브러리 의존성이 함께 갱신되었으며 운영 관점의 주의 사항은 없습니다.
SPIRE v1.15.2는 docker 의존성을 moby로 전환하여 CVE를 해결하고, 위임된 ID API에서 관리자/다운스트림 항목의 JWT-SVID 노출을 차단한 보안 패치입니다. 다양한 기능 추가와 대규모 배포 성능 최적화도 포함되어 있습니다.
docker/docker 의존성을 moby/moby로 전환하여 여러 CVE를 해결했습니다. v1.15.2로 업그레이드하세요.
관리자 또는 다운스트림 항목을 사용하는 위임된 ID API 환경에서 JWT-SVID가 더 이상 제공되지 않습니다. 위임된 API를 사용 중이면 업그레이드 후 클라이언트 코드를 검토하세요.
Argo CD 3.4.5는 SSA 인증 재조정, 동기화 및 UI 회귀, Dex 설정 문제를 포함한 여러 버그를 수정한 정기 패치입니다.
Flatcar stable-4593.2.4는 커널을 6.12.95로 올려 CVE 130건 이상을 한꺼번에 해소하는 보안 패치 릴리스이며, ca-certificates도 3.125로 함께 갱신되었습니다. 보고된 별도의 버그 수정이나 동작 변경은 없습니다.
Flatcar stable-4593.2.4는 리눅스 커널을 6.12.95로 올려 130개 이상의 CVE를 한꺼번에 수정합니다. 목록에는 CVE-2026-46242, CVE-2026-53332, CVE-2026-53356, CVE-2026-53329 등이 포함되며, 커널 코드 경로 전반에 걸친 문제라 영향 범위가 넓습니다. 정확한 CVSS 등급은 개별 CVE 항목을 확인해야 하지만, 규모상 최우선으로 업그레이드해야 합니다.
Flatcar lts-4081.3.9는 Linux 커널을 6.6.144로 올려 130개 이상의 커널 CVE를 한꺼번에 수정한 보안 중심 패치 릴리스입니다. ca-certificates도 3.125로 갱신되었으며, 제거나 API/설정 변경은 없습니다.
커널을 6.6.144로 올리면서 CVE-2026-46242를 포함해 130개 이상의 Linux 커널 CVE를 함께 수정했습니다. 릴리스 노트에는 개별 CVSS 등급이 명시되어 있지 않지만, 커널 코드 실행 및 권한 상승과 관련된 취약점이 다수 포함되어 있어 HIGH로 분류됩니다. 프로덕션 노드는 가급적 빨리 6.6.144 이상으로 갱신하세요.
TiKV/TiDB v8.5.7은 max_ts 유효성 검증 기본 거부, 옵티마이저 IndexMerge 자동화, TiDB Lightning 웹 인터페이스 제거 등 몇 가지 동작 변경을 포함한 패치이며, 서드파티 의존성 보안 업데이트와 함께 CPU 인지 핫 리전 스케줄링, 부분 인덱스 등 신규 기능과 다수의 성능/버그 수정을 담고 있습니다.
업그레이드 대상이 명확히 밝혀지지 않은 TiKV 8.5용 서드파티 의존성 다수를 보안 및 안정성 목적으로 업데이트했습니다. 취약 패키지를 쓰고 있었다면 업그레이드로 해결됩니다.
storage.max-ts.action-on-invalid-update의 기본 동작이 로그 기록에서 요청 거부로 바뀝니다. 업그레이드 전 동작 유지가 필요하면 해당 옵션을 log로 명시하세요.
TiDB Lightning 웹 인터페이스가 완전히 제거됐습니다. 앞으로는 tidb-lightning 명령줄 도구와 체크포인트/트러블슈팅용 tidb-lightning-ctl을 사용해야 합니다.
옵티마이저 fix control 52869가 기본으로 활성화되어 대체 인덱스가 있을 때 IndexMerge를 자동으로 고려합니다. 일부 쿼리의 실행 계획이 바뀔 수 있으니 주요 쿼리의 플랜을 점검하세요.
INSERT 문에서 NOT NULL 컬럼에 명시적으로 NULL을 쓰는 경우 tidb_enable_strict_not_null_check가 기본값 ON으로 엄격하게 검증합니다. 기존에 이런 패턴에 의존하던 애플리케이션은 오류가 발생할 수 있습니다.
TiKV 백그라운드 리소스 컨트롤 메트릭이 resource_group 레이블 없이 전체 집계되는 전역 레이트 리미터 방식으로 바뀝니다. resource_group별로 필터링하던 대시보드와 알림 규칙을 업데이트해야 합니다.
cert-manager 1.21.0은 RBAC와 Helm 기본값을 조이는 세 가지 주요 변경(보안 권한 축소 포함)을 담은 강화 릴리스로, ARI와 Vault AWS IAM 인증 같은 새 기능도 함께 들어왔습니다. Helm values를 커스터마이즈했거나 Challenge/Order를 직접 다루는 도구가 있다면 업그레이드 전에 반드시 변경 사항을 확인해야 합니다.
cert-manager-edit 어그리게이트 ClusterRole에서 challenges.acme.cert-manager.io에 대한 create 권한과 orders.acme.cert-manager.io에 대한 create/patch/update 권한이 제거되었습니다(GHSA-8rvj-mm4h-c258). Challenge나 Order 리소스를 직접 생성하는 자동화나 도구가 있다면 별도 RBAC를 부여해야 동작이 유지됩니다.
Helm 차트가 더 이상 컨트롤러 ServiceAccount에 대한 serviceaccounts/token: create 권한을 부여하는 기본 Role/RoleBinding을 생성하지 않습니다. serviceAccountRef.name으로 컨트롤러 ServiceAccount를 직접 참조하는 문서화되지 않은 구성을 쓰고 있다면 업그레이드 후 토큰 발급이 실패할 수 있습니다.
Helm 값 prometheus.servicemonitor.targetPort, prometheus.servicemonitor.path, prometheus.podmonitor.path가 제거되었습니다. 관련 메트릭 포트도 tcp-prometheus-servicemonitor에서 http-metrics로 이름이 바뀌었습니다. values 오버라이드에 이 키들이 남아 있으면 업그레이드 시 스키마 검증 오류가 발생하므로 values 파일을 미리 정리해야 합니다.
etcd v3.7.0은 --listen-client-http-urls를 설정했을 때 gRPC 리스너에서 CRL 검증이 우회되던 HIGH 등급 취약점(GHSA-3wh4-j44w-pg92)을 고친 보안 릴리스입니다. 업그레이드 가이드는 호환성 변경 가능성을 언급하지만 세부 내용은 이번 자료에 포함되어 있지 않습니다.
--listen-client-http-urls 플래그를 사용하는 경우 gRPC 리스너에서 CRL(인증서 폐기 목록) 검증이 우회되는 취약점이 있었습니다(GHSA-3wh4-j44w-pg92, HIGH). 폐기된 인증서로도 접근이 허용될 수 있으므로 해당 플래그를 쓰는 클러스터는 v3.7.0으로 업그레이드하세요.
Thanos v0.42.0은 grpc/authz의 경로 기반 deny 규칙을 우회할 수 있는 CVSS 9.1 취약점(CVE-2026-33186)을 고친 보안 릴리스이면서, Receive와 Store의 플래그 제거를 포함한 여러 breaking change와 새로운 TLS/암호 설정 옵션을 함께 담은 혼합 성격의 업데이트입니다.
조작된 :path 헤더로 grpc/authz 인터셉터의 경로 기반 deny 규칙을 우회할 수 있는 CVSS 9.1 취약점(CVE-2026-33186)이 thanos-community/grpc-go 포크에서 발견되어 이번 버전에서 패치되었습니다. grpc/authz로 경로 기반 접근 제어를 하는 환경은 즉시 업그레이드하세요.
Receive의 --shipper.ignore-unequal-block-size 플래그가 제거되었습니다. TSDB가 shipper의 블록 업로드 완료까지 컴팩션을 지연시켜, 데이터 손실 위험 없이 업로드 중 컴팩션이 가능해진 데 따른 변경입니다. 이 플래그를 사용 중이면 설정에서 제거해야 합니다.
Store의 --debug.advertise-compatibility-label 플래그가 제거되어, 기본적으로 @thanos_compatibility_store_type=store 외부 레이블을 더 이상 광고하지 않습니다. v0.8.0 이전 Thanos Query와의 호환성이 깨지므로, 오래된 Query 컴포넌트와 연동 중이면 업그레이드 순서를 검토하세요.
Query-Frontend의 응답 JSON 필드명이 time_taken에서 time_taken_ms로 바뀌었습니다. 로그 수집기나 이 필드를 파싱하는 도구가 있다면 필드명을 갱신해야 합니다.
gRPC v1.82.1은 파이썬 protobuf 의존성 하한을 7.35.1로 올린 것 외에는 별다른 변경이 없는 routine 패치 릴리스입니다. 다만 protobuf 6.x에 고정된 환경에서는 업그레이드 전 확인이 필요합니다.
파이썬용 gRPC가 protobuf 최소 버전 요구치를 6.33.5에서 7.35.1로 올렸습니다. protobuf를 6.x 버전대에 고정해둔 프로젝트는 이번 gRPC 업그레이드 시 의존성 충돌이 발생하므로, protobuf도 7.35.1 이상으로 함께 올려야 합니다.
Tekton v1.9.6은 Go와 golang.org/x/crypto, golang.org/x/net의 버전을 올려 알려진 보안 취약점을 고친 보안 패치입니다. 또한 빌드 위생성 개선으로 kodata의 LICENSE 심볼릭 링크를 실제 파일로 대체했습니다.
Tekton v1.9.6은 Go를 1.25.10으로, golang.org/x/crypto를 v0.52.0으로, golang.org/x/net을 v0.55.0으로 올려 의존성의 알려진 취약점을 수정했습니다. v1.9.6으로 업그레이드하면 이 수정이 적용됩니다.
Rook v1.20.2는 버그 수정과 소규모 개선에 집중한 routine 패치 릴리스로, Ceph v20.2.2와 ceph-csi-operator v1.0.4로 버전을 올리고 mgr NetworkPolicy를 인그레스 전용으로 제한했습니다. API 제거나 CVE는 포함되어 있지 않습니다.
mgr용 NetworkPolicy가 이제 인그레스 트래픽만 허용하도록 제한됩니다. 기존에 mgr로부터의 아웃바운드 통신에 의존하던 커스텀 네트워크 정책이 있다면 업그레이드 후 동작을 확인하세요.
Flux v2.9.1은 post-build 변수 치환이 Flux CRD 스키마를 손상시킬 수 있던 중대 버그를 고친 패치 릴리스입니다. SOPS .ini 복호화와 드라이런 병합 패치 오류도 함께 수정되었으며, 새로운 기능 변경이나 보안 취약점은 없습니다.
post-build 변수 치환이 활성화된 Kustomization에서 ${...} 패턴이 Flux 자체의 CRD 스키마 필드와 일치하면 CRD가 손상될 수 있었습니다. v2.9.1에서는 `kustomize.toolkit.fluxcd.io/substitute: disabled` 주석으로 Flux CRD를 보호하도록 수정했습니다. post-build 치환을 사용 중이라면 업그레이드하세요.
OpenTelemetry Collector v0.156.0은 버그 수정 중심 릴리스로, 운영자에게 직접 영향을 주는 변경이 하나 있습니다. memory_limiter 프로세서가 연속 강제 GC 대신 지수 백오프로 전환되며, 상한을 두 개의 새 설정 필드로 제어할 수 있습니다. 그 외에 otlp_http 영구 오류 처리, 리시버 기동 순서, env 변수 nil 해석, 재시도 설정 유효성 검사도 수정됐습니다.
memory_limiter 프로세서가 GC를 실행해도 효과가 없을 때(소프트 리밋 초과 상태 유지 + 회수율 5% 미만) 지수 백오프로 GC 호출을 줄입니다. 백오프 상한은 max_gc_interval_when_soft_limited와 max_gc_interval_when_hard_limited로 조정하며, 기본값은 각각 30s입니다. GC 빈도를 직접 조정해온 환경이라면 이 두 필드를 검토하세요.
Lima v2.1.4는 몇 가지 버그 수정과 nerdctl 업데이트, CLI 및 템플릿 소소한 개선을 담은 통상적인 패치 릴리스입니다. 주요 변경이나 보안 수정, 지원 중단 항목은 없습니다.
