# CloudNativePG v1.29.1

> Storage & Data · 2026-05-08

권한 축소, 여러 CVE 대응, 공급망 보완, 장애 조치와 설정 정확성 수정이 포함된 보안 중심 유지 보수 릴리스입니다. 일부 모니터링 구성에는 권한 부여가 필요하며, 업그레이드 순서를 지켜야 하는 변경도 있습니다.

## 조치 필요
- **[security · critical]** 메트릭 익스포터 인증 권한 축소
  - 메트릭 익스포터는 더 이상 `postgres` 슈퍼유저로 인증하지 않습니다. 대신 `cnpg_metrics_exporter` 전용 역할을 사용하며 `pg_monitor` 권한만 부여되어, 낮은 권한의 데이터베이스 사용자가 PostgreSQL 슈퍼유저 권한을 얻을 수 있던 경로를 차단합니다.
- **[security · critical]** `github.com/jackc/pgx/v5` 버전 갱신
  - `github.com/jackc/pgx/v5`를 v5.9.2로 올렸습니다. 이 버전에는 `pgproto3`의 메모리 안전성 문제인 `CVE-2026-33816`과 단순 프로토콜의 달러 인용 문자열 처리에서 발생하는 SQL 삽입 문제인 `GHSA-j88v-2chj-qfwx`에 대한 상위 프로젝트 수정이 포함됩니다.
- **[security · high]** `Go` 1.26.3 빌드 적용
  - `Go` 1.26.3으로 빌드해 `crypto/x509`, `crypto/tls`, `net/http`, `net`의 상위 프로젝트 수정 사항을 반영했습니다.
- **[security · high]** 릴리스 빌드의 모듈 체크섬 검증 보완
  - `Go` 1.26.3 갱신에는 `cmd/go`의 모듈 체크섬 검증 문제인 `CVE-2026-42501`에 대한 수정도 포함되어 릴리스 빌드 중 공급망 노출을 줄입니다.
- **[security]** `search_path` 기반 참조 처리 변경
  - 정규화되지 않은 참조는 `search_path`를 따라 해석되며, 데이터베이스 사용자가 이를 조작해 내장 객체를 가릴 수 있습니다.

## 영향 확인
- **[security · critical]** 사용자 지정 모니터링 쿼리의 명시적 권한 부여
  - 사용자 소유 테이블을 읽는 사용자 지정 모니터링 쿼리를 사용하거나, `PUBLIC CONNECT`가 철회된 데이터베이스에 `target_databases: '*'`를 적용하는 경우에 해당합니다.
  - 사용자 소유 테이블을 읽는 사용자 지정 모니터링 쿼리나 `PUBLIC CONNECT`가 철회된 데이터베이스를 대상으로 하는 `target_databases: '*'` 설정에는 `cnpg_metrics_exporter`에 대한 명시적인 `GRANT` 문이 필요합니다.

## 그 밖에 기록된 변경
- 10 (defect_corrected 8, value_changed 2)

[분석 자세히 보기](https://ratatosk.io/ko/releases/cloudnativepg/v1.29.1)

[원본 릴리스 노트](https://github.com/cloudnative-pg/cloudnative-pg/releases/tag/v1.29.1)