릴리스

조치 필요 (1)

• securityhigh내장 grpc-health-probe 재빌드

  내장 grpc-health-probe를 v0.4.53으로 갱신하고 Go 1.26.5로 다시 빌드했습니다. 이에 따라 출시 이미지가 Go 표준 라이브러리 취약점을 포함하지 않으며, CVE-2026-39822도 반영되었습니다.

영향 확인 (3)

• securitymediumMySQL backend 스키마 마이그레이션 008 추가

  MySQL backend를 사용하면 적용됩니다.

  MySQL backend에 스키마 마이그레이션 008이 추가되며, 적용하려면 유지보수 창이 필요합니다. 업그레이드 전 확인 대상은 [운영자 런북](https://github.com/openfga/openfga/blob/main/assets/migrations/mysql/collation_migrations.md)입니다. 관련 권고 식별자는 CVE-2026-55170과 CVE-2026-55689입니다.

• security사전 공유 키 인증의 일정 시간 비교 적용

  사전 공유 키 인증을 사용하면 적용됩니다.

  사전 공유 키 인증에 crypto/subtle.ConstantTimeCompare를 사용해, 이전 맵 조회로 유효한 키 바이트 정보가 드러날 수 있던 타이밍 사이드 채널을 차단합니다.

• securityOIDC 발급자와 대상 설정 검증 강화

  authn.method를 oidc로 설정한 경우 적용됩니다.

  authn.method가 oidc로 설정되면 authn.oidc.issuer와 authn.oidc.audience를 모두 설정하도록 검증합니다.

조치 필요 (2)

• security툴체인 Go 버전 1.26.4로 업데이트

  툴체인의 Go 버전을 1.26.4로 올려 Go 표준 라이브러리 취약점을 수정했습니다.

• securitygrpc-health-probe v0.4.52 업데이트

  grpc-health-probe를 v0.4.52로 업데이트하고 Go 1.26.4로 다시 빌드했습니다. 이제 릴리스 이미지에 해당 Go 표준 라이브러리 취약점이 포함되지 않습니다.

조치 필요 (1)

• securityTLV 기반 캐시 키 생성

  캐시 키 생성이 TLV(type-length-value) 바이너리 인코딩을 사용하도록 바뀌어 문자열 연결에서 생기던 충돌 위험을 없앴습니다. 프로세스마다 해시 시드를 다르게 적용해 hash-flooding 공격을 막도록 했습니다. 관련 변경은 #3148에 반영됐습니다.

조치 필요 (1)

• securitygrpc-health-probe 버전 업데이트

  여러 Go 표준 라이브러리 CVE에 대응하도록 grpc-health-probe를 v0.4.50으로 업데이트했습니다.

조치 필요 (1)

• securityGo 도구 모음 버전 업데이트

  표준 라이브러리 취약점에 대응하기 위해 Go 도구 모음 버전을 1.26.3으로 업데이트했습니다.

조치 필요 (1)

• securityGo 도구 모음 버전 업데이트

  Go 표준 라이브러리 취약점에 대응하도록 도구 모음 버전을 1.26.2로 업데이트했습니다.

영향 확인 (2)

• securityAuthZEN 검색 메타데이터의 엔드포인트 URL 수정

  authzen.baseURL이 설정된 경우에 적용됩니다.

  AuthZEN 검색 메타데이터가 요청의 호스트 헤더가 아니라 설정된 authzen.baseURL에서 엔드포인트 URL을 게시하도록 수정되어 호스트 헤더 오염을 막습니다.

• security테스트용 github.com/docker/docker 패키지 교체

  테스트를 실행하는 경우에 적용됩니다.

  테스트에서만 사용하던 github.com/docker/docker 패키지를 제거하고 Moby (client & api)로 교체했습니다.

조치 필요 (1)

• securitymediumBatchCheck 정책 적용 오류 수정

  동일한 튜플에 여러 검사를 담은 BatchCheck 호출에서 정책이 잘못 적용될 수 있던 문제를 수정했습니다. 관련 보안 권고 식별자는 CVE-2026-34972입니다.

영향 확인 (1)

• securitymedium조건부 캐시 결과 오류를 일으키는 보안 취약점 수정

  Check 요청에서 조건을 사용하고 캐싱이 활성화된 경우에 적용됩니다.

  조건을 사용하는 Check 요청에서 캐싱이 활성화되면 잘못된 캐시 결과를 반환할 수 있던 보안 취약점 CVE-2026-33729를 수정했습니다. 관련 보안 권고는 GHSA-h6c8-cww8-35hf입니다.

조치 필요 (2)

• securityhighgo 도구 체인 버전 업데이트

  표준 라이브러리 취약점 GO-2026-4603 및 GO-2026-4601에 대응하도록 go 도구 체인 버전을 1.25.8로 업데이트했습니다.

• breaking튜플 문자열 검증 조건 강화

  튜플 문자열에 유니코드 제어 문자나 널 바이트가 하나라도 있으면 튜플 검증이 실패합니다.

조치 필요 (1)

• securitycriticalgrpc-health-probe 버전 갱신

  grpc-health-probe가 v0.4.45로 업데이트되었습니다. 이 변경은 CVE-2025-68121에 대응합니다.

조치 필요 (1)

• securitycriticalgo 버전 1.25.7 업데이트

  도구 모음의 go 버전을 1.25.7로 업데이트해 CVE-2025-68121에 대응했습니다.

조치 필요 (1)

• securityOpenTelemetry SDK 업그레이드

  이전 버전의 취약점인 SNYK-GOLANG-GOOPENTELEMETRYIOOTELSDKRESOURCE-15182758에 대응하기 위해 otel/sdk를 v1.40.0으로 업그레이드했습니다.

조치 필요 (2)

• securitymedium정책 적용 오류 수정

  CVE-2026-24851에 해당하는 부적절한 정책 적용 문제를 수정했습니다. 관련 보안 권고 식별자는 GHSA-jq9f-gm9w-rwm9입니다.

• breaking사용자 정의 gRPC 프로메테우스 포크와 메트릭 라벨 제거

  직접 관리하던 grpc_prometheus 포크를 제거하고 go-grpc-middleware의 제공자를 사용합니다. 이 메트릭에서 사용자 정의 grpc_code 라벨도 제거했습니다.