# cert-manager v1.20.5

> Security · 2026-10-28

손상된 인증 기관을 더 이상 신뢰하지 않도록 기반 이미지와 인증서 검증 동작이 바뀌고, 여러 Go 의존성의 보안 취약점이 수정되었습니다. 소스 빌드에는 Go 1.26이 필요합니다.

## 조치 필요
- **[security · critical]** HTTP/2 취약점 수정
  - `golang.org/x/net`이 v0.60.0으로 업데이트되어 HTTP/2 관련 취약점을 수정합니다.
- **[security · high]** JWK 구문 분석 서비스 거부 문제 수정
  - `github.com/go-jose/go-jose/v4`가 v4.1.6으로 업데이트되었습니다. RSA 키가 포함된 JWK를 구문 분석할 때 서비스 거부가 발생하는 문제를 수정합니다.
- **[security · high]** `golang.org/x/crypto` 업데이트
  - `golang.org/x/crypto`가 v0.57.0으로 업데이트되어 보안 취약점을 수정합니다.
- **[security]** 손상된 인증서 체인 거부
  - Go 1.26.10의 `crypto/x509`이 손상된 중간 인증 기관을 거치는 인증서 체인을 거부합니다.
- **[security]** Debian 13 기반 이미지로 업데이트
  - 기반 이미지가 Debian 13으로 업데이트되었습니다. eMudhra 중간 인증 기관 침해 이후 Debian 13은 "`emSign ECC Root CA - G3`"와 "AAA Certificate Services" 루트를 신뢰하지 않습니다.
- **[security]** `Go` 1.26.10으로 업데이트
  - `Go`가 1.26.10으로 업데이트되어 `crypto/tls`, `crypto/x509`, `net/http`, `net/textproto`, `mime/multipart`, `html/template` 패키지의 취약점을 수정합니다.
- **[security]** OpenTelemetry OTLP 추적 내보내기 모듈 업데이트
  - `go.opentelemetry.io/otel/exporters/otlp/otlptrace`와 `otlptracegrpc`가 v1.45.0으로 올라가 보고된 보안 취약점을 수정합니다.
- **[security]** `html` 패키지 취약점 수정
  - `golang.org/x/net`이 v0.62.0으로 업데이트되어 `html` 패키지의 취약점을 수정합니다.
- **[breaking]** `go` 지시문을 1.26으로 상향
  - cert-manager의 `go.mod` 파일에서 `go` 지시문이 1.26으로 올라갔습니다.

[분석 자세히 보기](https://ratatosk.io/ko/releases/cert-manager/v1.20.5)

[원본 릴리스 노트](https://github.com/cert-manager/cert-manager/releases/tag/v1.20.5)