# Falco 0.45.0

> Security · 2026-09-21

규칙 평가 의미가 바뀌는 호환성 주의 릴리스로, 다시 불러오기와 차트 기능이 추가됩니다. 운영 관련 수정과 의존성 업데이트, 보안 문제를 다룬 수정도 함께 포함됩니다.

## 조치 필요
- **[security]** pidfile 심볼릭 링크 추적 방지
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - 공격자가 쓸 수 있는 디렉터리에 pidfile 경로가 있을 때 심볼릭 링크를 이용한 TOCTOU 문제가 발생하지 않도록 pidfile을 `O_NOFOLLOW`로 엽니다.
- **[security]** 커널 모듈 로딩 시 절대 경로의 `modprobe` 사용
  - 커널 모듈을 불러올 때 `PATH`를 검색하는 대신 절대 경로의 `modprobe`를 사용합니다. 신뢰할 수 없는 검색 경로와 관련된 CWE-426 문제를 막습니다.
- **[breaking]** 원시 필드 바이트 기준의 규칙 조건 평가
  - 적용 대상이 릴리스 노트에 명시되지 않았습니다.
  - 규칙 조건을 원시 필드 바이트 기준으로 평가합니다. 잘못된 UTF-8 시퀀스와 출력할 수 없는 UTF-8 시퀀스도 문자열 연산자로 일치시킬 수 있으며, 단일 바이트에는 새 이스케이프 시퀀스 `\xHH`를 사용합니다. `regex`는 정제된 입력에 적용되고, 출력 인코딩 시 출력할 수 없는 문자는 이스케이프하며 잘못된 UTF-8 시퀀스는 대체 문자로 바꿉니다. `FALCO_ENGINE_VERSION`이 `0.62.0`에서 `0.63.0`으로 올라갔고, 정규식이 아닌 연산자로 대체 문자와 일치시키던 규칙은 동작 검토가 필요합니다.

## 미리 준비
- **[deprecated]** `container_engines` 설정 키 제거
  - 설정 JSON 스키마에서 `container_engines` 관련 항목을 제거했습니다. 이 키를 계속 설정한 구성은 시작할 때 스키마 검증 경고를 기록합니다.

## 그 밖에 기록된 변경
- 20 (defect_corrected 13, value_changed 4, added 2, constraint_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/falco/0.45.0)

[원본 릴리스 노트](https://github.com/falcosecurity/falco/releases/tag/0.45.0)